Рансъмуерът някога беше прост и брутален проблем: нападателите заключваха файловете ви и искаха плащане за ключа. Днес картината е по-сложна. Това ръководство предлага обяснение на двойното изнудване с рансъмуер за широката аудитория, базирано на скорошен коментар на японски език от Масая Киношита, който описва как щетите от рансъмуер стават все по-изтънчени и сериозни.

Основният момент е, че доминиращата тактика вече е „двойно изнудване“. Нападателите вече не просто криптират данни. Те също така открадват информация и заплашват да я изтекат, ако исканията им не бъдат изпълнени. Тази промяна променя значението на защитата — както за организациите, така и за хората, чиито данни тези организации съхраняват.

Как работи двойното изнудване

При класическа атака с рансъмуер престъпниците криптират файловете на жертвата и искат пари за декриптиране. Основният въпрос на жертвата е дали може да възстанови системите си.

Двойното изнудване добавя втори лост. Преди или по време на криптирането нападателите копират чувствителна информация от мрежата на жертвата. След това представят две заплахи наведнъж:

  • Платете, или системите ви остават заключени.
  • Платете, или откраднатите ви данни ще бъдат публикувани.

Коментарът описва това като основен подход, а не като екзотика. Втората заплаха е това, което прави тактиката толкова ефективна. Дори жертва с перфектен план за възстановяване все още е изправена пред перспективата клиентски записи, данни за служители или вътрешни документи да се появят публично.

Защо резервните копия вече не решават проблема сами

Резервното копиране на данни остава от съществено значение. Източникът подчертава осигуряването на надеждни резервни копия като една от конкретните мерки, които организациите трябва да предприемат, защото добрите резервни копия позволяват на жертвата да възстанови дейността си, без да плаща за ключ за декриптиране.

Но резервните копия отговарят само на заплахата от криптиране. Те не правят нищо срещу откраднатите копия. Възстановяването на файловете от чисто резервно копие не връща данните ви от сървъра на нападателя. След като информацията бъде изнесена, жертвата е загубила контрол върху това кой я вижда, и престъпниците знаят това.

Ето защо източникът съчетава резервните копия с други мерки, като многофакторна автентикация. Спирането на нападателите да влязат или да се движат свободно, след като вече са вътре, е единственият начин да се предотврати кражбата още в самото начало. Резервните копия са инструмент за възстановяване, а не за превенция.

Какво означават сайтовете за изтичане на данни като RansomHouse за личните ви данни

Натискът зад двойното изнудване често се прилага публично. Източникът се позовава на сайт, наречен RansomHouse — пример за сайтовете за изтичане на данни, където групите за изнудване назовават жертвите и заплашват да публикуват или действително публикуват откраднат материал. Видеото, разгледано в коментара, посочва този вид сайт като част от текущата заплаха.

За обикновените хора ключовият момент е, че можете да бъдете засегнати, без изобщо да сте целта. Ако компания, клиника, училище или доставчик, който съхранява вашата информация, бъде пробит, вашите данни може да са част от откраднатото. Публикуването в сайт за изтичане на данни е знак, че групата оказва натиск върху организацията, а не доказателство, че твърдението е вярно. Например нашето отразяване на Everest рансъмуер listing на Capgemini Engineering отбелязва, че такива твърдения обикновено са непотвърдени по времето, когато се появят.

Скорошен пример за този модел е пробивът в Uber Freight, при който групата Helix твърди, че притежава близо 1 милион файла, след като публикува компанията в своя сайт за изтичане на данни в тъмната мрежа. Компанията заяви, че разследва инцидент със сигурността на данните. Ако искате да разберете къде отива откраднатата информация след това, нашето обяснение за какво се случва с данните ви след пробив обхваща верижната реакция, която може да последва.

Какво означава това за вас

Повечето читатели не управляват корпоративна мрежа, но все пак сте част от историята на двойното изнудване. Данните ви живеят в системите на други хора и не можете да контролирате тяхната сигурност. Това, което можете да контролирате, е колко щети ще ви нанесе едно изтичане.

Публикуван или продаден набор от лични данни може да захранва фишинг, опити за отвличане на акаунти и имперсонация. Повторното използване на пароли влошава това, защото една изтекла парола може да отключи няколко акаунта. Добрата новина е, че няколко навика рязко ограничават последствията.

Практични стъпки за хора и малки организации

За хора:

  • Използвайте уникална парола за всеки акаунт, съхранявана в мениджър на пароли.
  • Включете многофакторна автентикация навсякъде, където се предлага, като започнете с имейл, банкиране и облачно съхранение.
  • Бъдете скептични към неочаквани съобщения, които споменават реални ваши данни, тъй като изтеклите данни правят измамите по-убедителни.
  • Ако бъдете уведомени за пробив, сменете засегнатата парола незабавно и всички други, които съвпадат с нея.
  • Споделяйте само личната информация, която дадена услуга наистина се нуждае.

За малки организации:

  • Поддържайте надеждни резервни копия и съхранявайте поне едно копие офлайн или отделно от основната си мрежа, за да не могат нападателите да го криптират също.
  • Изисквайте многофакторна автентикация за служителите, особено за отдалечен достъп и администраторски акаунти.
  • Събирайте и съхранявайте по-малко чувствителни данни. Информация, която не притежавате, не може да бъде открадната.
  • Подгответе план за инциденти, който обхваща кражбата на данни, а не само възстановяването на системи, включително кого бихте уведомили.

Ключови изводи

Разбирането на двойното изнудване с рансъмуер на прости думи се свежда до една идея: криптирането е видимата атака, а кражбата е трайната. Резервните копия защитават дейността ви, но само превенцията, като многофакторна автентикация и ограничаване на това какви данни се съхраняват, намалява вероятността от изтичане.

За да видите какво обикновено се случва, след като информацията бъде открадната, прочетете нашето ръководство за какво се случва с данните ви след пробив, и прегледайте доклада за Uber Freight и Helix като скорошен пример за изнудване чрез сайт за изтичане на данни. След това отделете десет минути днес, за да включите многофакторна автентикация на най-важните си акаунти.