50+ пробива с рансъмуер разкриват нов модел за кражба на данни

Каталог от над 50 атаки с рансъмуер показва, че моделът се променя

Нова компилация от примери за атаки с рансъмуер, обхващаща десетки големи пробиви и финансовите им разходи, разкрива нещо, на което си струва да обърнем внимание отвъд сухите числа: механиката на тези атаки се развива по начини, които излагат личните данни на по-голям риск, отколкото самото криптиране някога е успявало.

Класическата версия на рансъмуера, често наричана крипто-рансъмуер, работи точно както повечето хора си представят. Зловреден код се промъква в мрежата и криптира файлове чрез силни алгоритми – обикновено AES-256 за заключване на данните и RSA-2048 за защита на ключа за криптиране. След като този процес приключи, файловете на практика са невъзстановими без частния ключ на атакуващия. След това на жертвите се показва бележка за откуп с искане на плащане, обикновено в Bitcoin или Monero, често придружена от таймер и заплаха, че ключът ще бъде унищожен, ако срокът изтече.

Този модел изгради репутацията на рансъмуера днес: блокирана болница, парализирана градска управа, производител, който не може да изпрати продукция. Но каталогът от примери сочи към втора, по-тиха тактика, която набира скорост успоредно с него – такава, която изобщо не разчита на криптиране.

Изнудването чрез кражба на данни не изисква заключване на нито един файл

Вместо да кодират файлове, някои нападатели вече просто копират чувствителни данни извън мрежата, преди някой да забележи, а след това заплашват да ги публикуват или продадат, ако не бъде извършено плащане. Няма тиктакащ таймер върху замразен работен плот, няма ИТ отдел, който трескаво възстановява от резервни копия. Лостът за натиск не е прекъсване на работата, а разкриване на информация.

Това разграничение е от значение за всеки, който мисли за собствената си поверителност, а не само за организациите, управляващи бюджети за сигурност. Рансъмуерът, базиран на криптиране, по същество е проблем с достъпността: вашите данни все още съществуват, просто нямате достъп до тях, докато не бъдат възстановени или не бъде платен откупът. Изнудването чрез кражба на данни е проблем с конфиденциалността: информацията вече е изтекла, вече се намира на сървъра на нападателя и никакво плащане на откуп не може да върне това назад. Дори организации със солидни резервни копия и бързи планове за възстановяване нямат реален отговор на заплаха, изградена изцяло върху разкриване на данни. Групи, управляващи операции от типа „рансъмуер като услуга“ – такива, каквито са описани в материала за LockBit 5.0 и операциите му след Операция Cronos – са възприели именно този подход с двойна заплаха: криптирайте каквото можете, откраднете това, което не можете, и изнудвайте и по двата фронта.

Защо исканата сума за откуп е само част от историята

Медийното отразяване на атаките с рансъмуер обикновено се фокусира върху самата сума на откупа и е лесно да разберем защо: конкретна доларова стойност е чисто заглавие. Но финансовите разходи от една атака често отразяват само страната на реакцията: реакция при инцидент, престой, правни такси, регулаторни глоби и плащането на откупа, ако такова е направено. Това число не обхваща последващите последици за поверителността на хората, чиито данни са били в тази система: пациенти, чиито медицински досиета бяха разкрити; клиенти, чиито данни за плащане бяха копирани; служители, чиято лична информация се е намирала в база данни на човешки ресурси, която е била извлечена.

Това е истинското значение за личните данни, заровено в тези каталози на пробиви. Една компания може да възстанови системите си, да плати глобите си и да продължи напред. Индивидът, чиито данни са били откраднати, не получава същото чисто възстановяване. Неговата информация може да циркулира безсрочно, след като веднъж е напуснала първоначалната мрежа, появявайки се в списъци за credential stuffing, фишинг кампании или опити за кражба на самоличност дълго след като оригиналната атака е избледняла от новините.

Какво означава това за вас

Ако сте потребител, изводът не е, че трябва лично да се защитавате срещу рансъмуер – това е организационен проблем за компаниите, които държат вашите данни. Но преминаването към изнудване чрез кражба на данни означава, че известията за пробиви заслужават повече внимание, отколкото обикновено получават, дори когато дадена компания казва, че не е платен откуп или системите не са били нарушени. „Нищо не е било криптирано“ вече не означава „нищо не е било взето“.

Ако работите в сферата на ИТ или сигурността, урокът от тези над 50 примера е, че само стратегията за резервни копия вече не е достатъчна. Планирането на възстановяване трябва да отчита разкриването на данни, а не само престоя, което означава криптиране на чувствителни данни в покой, ограничаване на достъпа, който всеки компрометиран акаунт може да получи, и третиране на откриването на извличане на данни със същата сериозност като самото откриване на рансъмуер.

Практически стъпки, които си струва да предприемете

Няколко навика имат голямо значение, независимо от коя страна на пробива сте. Индивидите трябва да следят за известия за пробиви, свързани с услугите, които използват, да активират многофакторна автентикация навсякъде, където се предлага, и да третират с подозрение непоискани съобщения, които споменават детайли за акаунт, тъй като откраднатите данни често подхранват последващ фишинг. Организациите трябва да приемат, че всяко успешно проникване може да включва кражба на данни дори при липса на видима бележка за откуп, и да изградят планове за реакция, които обхващат разкриване на информация и защита на клиентите, а не само възстановяване на системи.

Разрастването на рансъмуера от чисто криптираща заплаха в по-широка икономика на изнудване е напомняне, че битката не е само за поддържане на системите в действие. Става въпрос за запазване на информацията поверителна на първо място и това е отговорност, която се простира далеч отвъд момента, в който на екрана се появи бележка за откуп.