لماذا لا ينهي دفع الفدية المشكلة
عندما تقوم برمجيات الفدية بقفل أنظمة الشركة، فإن الرغبة في الدفع والمضي قدماً أمر مفهوم. يشير استطلاع جديد من شركة الأمن بروفبوينت، شمل 953 شركة، إلى أن هذه الرغبة قد تأتي بنتيجة عكسية. وفقاً للنتائج، تصبح المؤسسات التي تدفع طلب الفدية غالباً أهدافاً أكثر جاذبية، لا أقل. بمجرد أن تؤكد عصابة إجرامية أن الضحية مستعدة للدفع، يمكن وسم تلك الضحية نفسها لهجوم متابعة.
هذا الأمر مهم لأن المنطق وراء دفع الفدية لطالما استند إلى مقايضة بسيطة: المال مقابل الإغلاق. يوافق المدراء التنفيذيون على الدفع معتقدين أنه يعيد الأنظمة، ويحذف البيانات المسروقة، ويحد من انقطاع الأعمال، ويحمي العملاء. تشير أبحاث بروفبوينت إلى أن هذه المقايضة أقل موثوقية بكثير مما تفترضه معظم المؤسسات. الدفع لا ينهي بالضرورة العلاقة مع المهاجم؛ بل قد يبدأ علاقة جديدة في بعض الحالات.
المنطق التجاري وراء طلب ثانٍ
تعمل مجموعات برمجيات الفدية كالأعمال التجارية، والأعمال تبحث عن زبائن متكررين. الشركة التي أثبتت بالفعل أنها ستدفع هي، من منظور المجرم، مصدر دخل مثبت. لديها رأس مال عامل، وفريق قيادة مستعد للترخيص بالدفع بسرعة، ومن المفترض أنها لا تزال تعاني من نقاط الضعف التي سمحت للهجوم الأول بالنجاح من الأساس.
النقطة الأخيرة حاسمة. دفع الفدية يعالج الأزمة الفورية، لكنه نادراً ما يصلح الفجوات الأمنية الأساسية التي سمحت للمهاجمين بالدخول. إذا كان نفس ناقل التصيد، أو البرامج غير المحدثة، أو نقطة الوصول عن بعد المكشوفة لا تزال موجودة بعد الحادثة، فلا شيء يمنع نفس المجموعة، أو شركة تابعة اشترت الوصول إلى بيانات الضحية نفسها، من المحاولة مرة أخرى. تغطيتنا السابقة لـ أبحاث بروفبوينت حول دافعي فدية برمجيات الفدية تتعمق أكثر في مدى تكرار هذه الحوادث المتكررة ولماذا يمكن أن يكون الدفع بحد ذاته إشارة لمجموعات إجرامية أخرى على أن الهدف سهل الاختراق.
تقليل مخاطر الابتزاز قبل أن تبدأ
الأخبار الجيدة أن المؤسسات ليست عاجزة هنا. الخطوات التي تقلل من مخاطر برمجيات الفدية هي إلى حد كبير نفس الخطوات التي أوصت بها فرق الأمن لسنوات، لكنها تحمل إلحاحاً أكبر في ضوء هذه البيانات.
يبقى الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت ومختبرة الطريقة الوحيدة الأكثر فعالية لتجنب مواجهة قرار الدفع أو عدمه من الأساس. إذا كان من الممكن استعادة الأنظمة من النسخة الاحتياطية دون الحاجة لمفتاح فك تشفير المهاجم، فإن فرضية الابتزاز بأكملها تنهار. تجزئة الشبكة مهمة أيضاً: تحديد مدى تحرك المهاجم بمجرد دخوله يقلل من نطاق الضرر لأي اختراق واحد، مما يقلل بدوره من قوة التفاوض أثناء مفاوضات الفدية.
تساعد المراقبة المستمرة للتهديدات وكشف نقاط النهاية في اكتشاف الاختراقات قبل أن تتصاعد إلى أحداث تشفير كاملة. تتكشف العديد من هجمات برمجيات الفدية على مدى أيام أو أسابيع بين الوصول الأولي والحمولة النهائية؛ تلك النافذة فرصة للتدخل. ممارسات الوصول عن بعد الآمنة، بما في ذلك استخدام VPN للاتصالات المشفرة والمصادقة متعددة العوامل لأي شخص يسجل دخوله من خارج شبكة الشركة، تغلق إحدى نقاط الدخول الأكثر شيوعاً التي يستغلها المجرمون. لا يضمن أي من هذه الإجراءات الحصانة، لكنها معاً تقلل من احتمالات أن ينتهي الأمر بشركة تواجه مذكرة فدية من الأساس.
ماذا يعني هذا لك
إذا تعرضت مؤسستك لهجوم برمجيات فدية على الإطلاق، تشير نتائج بروفبوينت إلى أنه لا ينبغي التعامل مع الدفع كحل نظيف. قبل الترخيص بأي دفع، يجدر السؤال عمّا إذا كان قد تم تحديد وإغلاق الثغرة الأساسية، لأنه إذا لم تكن كذلك، فقد يكون الدفع مجرد القسط الأول في علاقة مستمرة مع المهاجم.
هذه أيضاً لحظة لإشراك سلطات إنفاذ القانون مبكراً بدلاً من أن يكون ذلك فكرة متأخرة. الوكالات التي تتعقب مجموعات برمجيات الفدية يمكنها أحياناً تقديم أدوات فك تشفير، أو معلومات استخباراتية عن التهديدات حول سلوك عصابة معينة، أو سياق حول ما إذا كان لمجموعة تاريخ في الابتزاز المتكرر. جلب خبرة الاستجابة للحوادث الخارجية قبل اتخاذ قرار الدفع، بدلاً من بعده، يعطي المؤسسة صورة أوضح لخياراتها الفعلية.
بالنسبة للشركات الأصغر التي لا تملك فرق أمن مخصصة، الحسابات متشابهة لكن الموارد أقل. هذا يجعل الوقاية أكثر أهمية: النظافة الأساسية مثل النسخ الاحتياطية المنتظمة، والبرامج المحدثة، وأدوات الوصول عن بعد الآمنة تفعل أكثر لتقليل المخاطر مما يمكن لأي قرار ما بعد الحادثة أن يفعله.
النقاط الرئيسية
الدرس الأساسي من استطلاع بروفبوينت هذا واضح: دفع الفدية يشتري الوقت، وليس بالضرورة الأمان. يجب على المؤسسات التعامل مع كل حادثة برمجيات فدية كدليل على وجود فجوة أمنية تحتاج إلى إصلاح، بغض النظر عما إذا تم الدفع أم لا. تشمل الخطوات العملية التي تستحق الأولوية الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت، وتجزئة الشبكات، والمراقبة للعلامات المبكرة للاختراق، وتأمين الوصول عن بعد بمصادقة قوية واتصالات مشفرة.
والأهم من ذلك، يجب اتخاذ أي قرار دفع إلى جانب خطة إصلاح جادة، لا أن يكون بديلاً عنها. تدير عصابات برمجيات الفدية أعمالاً تجارية، وتشير البيانات إلى أنهم يعرفون تماماً أي العملاء يستحقون الفوترة مرتين.
