Плащането на група за рансумуер никога не е гарантирало безопасност, но ново изследване дава точна цифра колко често този хазартен ход се проваля. Според последните данни, 58% от организациите в Обединеното кралство, засегнати от рансумуер, са платили искания откуп, а 22% от тях са били подложени на втори опит за изнудване. Посланието към ИТ екипите и всеки, чиито лични данни преминават през корпоративни мрежи, е, че старата стратегия „плати и продължавай напред“ вече не работи.

Новата реалност: плащането не прекратява атаката

Рансумуер атаките следваха сравнително предвидим сценарий: нападателите криптират файловете ви, вие плащате, получавате ключ за декриптиране и инцидентът приключва. Този сценарий вече е пренаписан. Преминаването към двойно изнудване, при което атакуващите крадат данни преди криптирането и заплашват да ги публикуват независимо от плащането, означава, че транзакцията за откуп не решава нищо. Цифрата от 22%, показваща повторно изнудване на организации, които вече са платили, потвърждава това, за което много изследователи по сигурността предупреждават от години: веднъж излезли извън контрола ви данни, нямате реална власт върху случващото се с тях впоследствие. Престъпна група, която веднъж е получила плащане, има всички стимули да се върне – независимо дали става въпрос за същите лица, или за други, действащи чрез препродаден достъп.

За Windows администраторите конкретно това променя сметките при реакция на инциденти. Възстановяването от резервно копие се разглеждаше като алтернатива на плащането. Сега то трябва да се възприема като базова нагласа, защото плащането не спира надеждно изтичането на информация от гледна точка на кражбата на данни. Тествани, офлайн резервни копия, строг контрол на идентичността и документиран план за възстановяване са това, което реално прекъсва цикъла, а не банковият превод към анонимен портфейл.

ИИ ускорява първоначалния пробив

Другата основна тема в това изследване е нарастващата роля на изкуствения интелект в ранните етапи на атаката. Първоначалният пробив – моментът, в който нападателите за първи път получават достъп в мрежата – е мястото, където инструментите с ИИ оказват най-голямо въздействие. По-бързото разузнаване, по-убедителните фишинг примамки и по-бързото идентифициране на уязвимости, които могат да се използват, скъсяват прозореца за защитниците да забележат нещо нередно, преди да бъдат нанесени щети.

Това е от значение, защото повечето защити срещу рансумуер все още са изградени върху предположението, че нападателите се нуждаят от време, за да се придвижат в мрежата, преди да причинят сериозна вреда. Ако ИИ компресира тази времева рамка, организациите, разчитащи само на периодично обновяване на софтуера и ръчен мониторинг, са все по-изложени. Това подсилва защо сигурността на идентичността – неща като многофакторно удостоверяване, управление на привилегирования достъп и бързо откриване на аномалии – е станала също толкова важна, колкото и защитата на крайните устройства.

Защо кражбата на данни е истинската история за поверителността

Докато криптираните файлове привличат най-много медийно внимание, моделът на двойно изнудване насочва светлините към нещо по-важно за обикновените хора: самите данни. Всеки инцидент с рансумуер, включващ откраднати HR досиета, клиентски бази данни или файлове на служители, е по същество инцидент с поверителността. Помислете как пробивът в HR системата на Statistics South Africa разкри данни на служители – случай, който показва как вътрешни системи, съдържащи чувствителна лична информация, могат да станат истинската цел, а не просто съпътстваща щета от по-широка атака. Когато групи за рансумуер извлекат такъв тип данни преди заключването на системите, плащането на откупа не отменя факта, че имена, заплати, адреси или здравни данни може вече да се намират на престъпен сървър или да са обявени за продажба.

Това е частта, която често липсва в чисто техническото отразяване на рансумуер: вторият опит за изнудване не е просто корпоративно главоболие, а втора вълна на излагане за хората, чиито данни са били откраднати на първо място. Служителите, клиентите и пациентите рядко имат думата дали тяхната организация ще плати, но те продължават да носят риска от кражба на самоличност, таргетиран фишинг или измами дълго след като новинарските заглавия заглъхнат.

Какво означава това за вас

Ако работите в ИТ или сигурността, тези данни са ясен сигнал да спрете да третирате плащането на откуп като решение и да започнете да го гледате като краен, най-неблагоприятен вариант. Плановете за възстановяване, неизменяемите резервни копия и защитите, ориентирани към идентичността, заслужават повече бюджет и време за тестване, отколкото обикновено получават. Ако сте служител или клиент на организация, която е оповестила инцидент с рансумуер, приемете, че вашите данни може да са били копирани, дори да ви кажат, че системите са „възстановени“. Наблюдавайте акаунтите си, внимавайте за фишинг опити, свързани с пробива, и обмислете мониторинг на кредитни данни, ако са били засегнати чувствителни лични или финансови данни.

Практически изводи

Организациите трябва редовно да проверяват целостта на резервните си копия и да потвърждават, че те са напълно изолирани от продукционната мрежа. Многофакторното удостоверяване и достъпът с минимални привилегии трябва да бъдат задължителни във всички системи, не само в критичните. Плановете за реагиране при инциденти трябва изрично да разглеждат сценария на двойно изнудване, включително юридически и комуникационни стъпки при поява на изтекли данни публично. Засегнатите от разкриване на рансумуер инцидент индивиди трябва да сменят пароли, да включат MFA там, където е налично, и да бъдат нащрек за последващи измами. Данните са ясни – повторното изнудване при рансумуер вече не е рядък граничен случай, а се превръща в стандартна част от жизнения цикъл на атаката, и подготовката е единствената реална защита.