Ransomware атаките вече не са проблем, запазен само за големи корпорации с дълбоки джобове и специални екипи по сигурността. Според Михаел Сьоберг и Петер Сковбо от Delta Crisis, средните по размер предприятия, гръбнакът на много национални икономики, все по-често се оказват парализирани от нападатели, които криптират критични системи и искат плащане, за да възстановят достъпа. Техните насоки, публикувани чрез Handelsblatt, предлагат рядък вътрешен поглед върху това как компаниите всъщност преговарят с кибер изнудвачи и какви стъпки могат да намалят щетите още преди атаката да се случи.

Защо средните компании са новата цел

В продължение на години заглавията за ransomware се фокусираха върху болници, държавни агенции и мултинационални корпорации. Тази картина се променя. Нападателите са осъзнали, че по-малките и средните фирми често нямат многослойната защита на по-големите предприятия, но въпреки това съхраняват ценни данни и не могат да си позволят продължителен престой. Тази промяна отразява по-широка тенденция, документирана другаде в екосистемата на ransomware, където някои групи са се насочили към това, което изследователите наричат area suppression of SME networks, атакувайки цели клъстери от по-малки организации, вместо да подбират старателно единични жертви с висока стойност. Логиката е проста: обемът замества прецизността и дори скромните ransom плащания се натрупват, когато се умножат по десетки жертви.

Опитът на Delta Crisis показва, че след като атаката удари, разликата между компания, която се възстановява с ограничени щети, и такава, която търпи трайни вреди, често се свежда до подготовката и начина, по който се води самият преговор в първите часове и дни.

Вътре в преговорите за ransomware

Според Сьоберг и Сковбо, преговарянето с киберпрестъпници не е просто въпрос на решение дали да се плати. То изисква разбиране на бизнес модела на нападателя, проверка на това какви данни всъщност са били откраднати или криптирани, както и управление на комуникацията по начин, който нито провокира групата да унищожи данните, нито сигнализира за отчаяние, което може да повиши искането. Това е деликатна работа и все повече прилича на професионална услуга от двете страни на масата. Тази професионализация е видима в целия ransomware пейзаж. Групите са възприели структурирани модели ransomware-като-услуга, модел, който се вижда и в предупрежденията за Gunra ransomware's expansion into a RaaS operation, където партньорите извършват атаки, използвайки инструменти, създадени от основна група, в замяна на дял от приходите. Резултатът е по-мащабируем и повтаряем процес на изнудване, което е точно причината стратегията за преговори да е толкова важна за жертвата.

Входната точка за много от тези атаки също заслужава внимание. Нападателите често получават първоначален достъп чрез социално инженерство, а не чрез експлоатиране на неясни технически пропуски. Кампании, злоупотребяващи с инструменти като Microsoft Teams, за да се представят за фалшив ИТ персонал, показват как едно убедително телефонно обаждане или чат съобщение може да отвори вратата към пълно компрометиране на мрежата, много преди да се появи каквото и да е искане за откуп.

Залозите за поверителност и изтичане на данни

Преговорите за ransomware не са само за възстановяване на достъпа до криптирани файлове. Съвременните ransomware групи обикновено крадат данни, преди да ги криптират, след което заплашват да публикуват или продадат информацията, ако не бъде платено. Този модел на двойно изнудване значително повишава залозите за поверителността. Записи на клиенти, данни на служители и поверителна бизнес информация могат да бъдат изложени, независимо дали компанията плати или не. Нападателите също стават все по-усъвършенствани в избягването на откриване по време на фазата на проникване, включително техники, които напълно деактивират инструментите за сигурност, както се вижда в репортажите за GodDamn ransomware abusing a signed driver to kill antivirus software. Този вид скритост означава, че пробивът може да остане незабелязан за много по-дълго време, давайки на нападателите повече време да извлекат чувствителни данни, преди някой да осъзнае, че нещо не е наред.

Какво означава това за вас

Ако ръководите или работите в средна по размер компания, посланието от Delta Crisis е ясно: готовността за ransomware вече не е опция и започва много преди атаката да се случи. Основна хигиена, офлайн резервни копия, тествани планове за реагиране при инциденти и обучение на персонала срещу социално инженерство остават най-силната защита. Ако атаката все пак се случи, решението дали и как да се преговаря никога не трябва да се взема изолирано или в паника. Опитните преговарящи разбират психологията на нападателя, проверяват твърденията, преди да им се доверят, и знаят как да печелят време, без да ескалират заплахите срещу откраднатите данни.

За хората, чиито данни може да се съхраняват в системите на компанията, това също подчертава защо организациите дължат прозрачност на клиентите, когато настъпи пробив, тъй като преговорите за ransomware пряко влияят върху това дали личната информация ще остане частна или ще бъде изтекла.

Ключови изводи

Компаниите от всякакъв размер трябва да третират ransomware като сценарий „кога", а не „дали". Изградете план за реагиране при инциденти преди атака, поддържайте тествани офлайн резервни копия и определете предварително кой ще води комуникацията, ако изнудвачите осъществят контакт. Обучавайте персонала да разпознава опити за социално инженерство, особено имитации чрез ежедневни инструменти за съвместна работа. Ако преговорите станат необходими, включете опитни професионалисти, вместо да импровизирате, тъй като начинът, по който компанията реагира в първите часове, може да оформи както финансовия резултат, така и колко лични или корпоративни данни в крайна сметка ще бъдат изложени.