Какво всъщност открадва ransomware с двойно изнудване

В продължение на години стандартният съвет за оцеляване при ransomware атака беше прост: поддържайте добри резервни копия и можете да възстановите системите си, без да плащате. Този съвет вече не е достатъчен. Съвременните ransomware банди вече не просто криптират данните ви – те първо ги екфилтрират (открадват). Това е известно като двойно изнудване и коренно променя сметката както за жертвите, така и за защитниците.

Ето как работи. Преди атакуващите някога да задействат криптирането, което ви заключва извън файловете ви, те тихо копират чувствителни данни от вашата мрежа: клиентски записи, финансови документи, служителска информация, интелектуална собственост – каквото успеят да намерят. Едва след като тези данни бъдат източени, започва видимата атака. Това означава, че до момента, в който забележите искания за откуп или заключени файлове, кражбата вече се е случила. Възстановяването от резервно копие решава проблема с криптирането, но не прави нищо, за да спре атакуващите да заплашват с изтичане или продажба на откраднатите данни.

Тази промяна има значение, защото превръща всеки ransomware инцидент в потенциално изтичане на данни, независимо дали имате безупречни резервни копия, съхранявани някъде незасегнати. Защитата срещу ransomware с двойно изнудване следователно трябва да започне много преди атакуващ да се доближи до вашите криптиращи ключове.

Защо плащането на откупа не гарантира връщането на данните ви

Точка, която си струва да се повтори за всяка организация, която претегля възможностите си по време на атака: няма правен договор, който да задължава ransomware банда да изтрие откраднатите данни след плащане. Това са престъпни предприятия, работещи извън всяко изпълнимо споразумение. Плащането не ги задължава да унищожат копия на файловете ви и не ги спира да препродадат данните на други престъпници или да ги изтекат по-късно въпреки всичко.

Досието на бизнесите, които плащат, също не е успокояващо. Дори след платен откуп няма гаранция за получаване на използваеми данни обратно и няма гаранция, че същите данни няма да изплуват отново при бъдещ опит за изнудване. Атакуващите имат всеки стимул да запазят копия като лост, тъй като жертва, платила веднъж, за да избегне срам или регулаторно излагане, може да плати отново при подновен натиск.

Тази динамика само се е засилила с развитието на тактиките за изнудване. Някои банди вече използват автоматизирани инструменти, за да ускорят и персонализират кампанията за натиск срещу жертвите – тенденция, разгледана подробно в как ransomware бандите вече използват ИИ, за да оказват по-силен натиск върху жертвите. Изводът е последователен: превенцията и ограничаването имат значение много повече от надеждата, че престъпна група ще спази своята страна на незаконна сделка.

Мрежова сегментация и използване на VPN като първа линия на защита

Тъй като кражбата на данни се случва преди видимата атака, най-ефективните защиты са тези, които ограничават до какво може да достигне натрапникът на първо място, а не само какво се случва след детонацията.

Мрежовата сегментация е централна за това. Когато всяко устройство и сървър са на една плоска мрежа, атакуващ, компрометирал една работна станция, често може да се придвижи странично, за да достигне файлови сървъри, резервни системи и бази данни, съдържащи чувствителни записи. Сегментирането на мрежата в изолирани зони, разделянето на финансовите системи от общия служителски достъп, изолирането на резервната инфраструктура от производствените системи и ограничаването на административния достъп означава, че един компрометиран акаунт или устройство не отваря вратата към всичко наведнъж.

Сигурният отдалечен достъп е също толкова важен. Служителите и подизпълнителите, свързващи се извън офиса, са често срещана входна точка за атакуващи, особено когато отдалеченият достъп разчита на изложени протоколи или слаба удостовереност. Използването на правилно конфигуриран VPN със силна удостовереност, вместо оставянето на отдалечен работен плот или административни портове директно достъпни от интернет, затваря един от най-често експлоатираните пътища в мрежа. Комбинирано с многофакторна удостовереност и принципа на минималните привилегии (даване на потребителите и системите само на достъпа, от който реално се нуждаят), тези мерки намаляват количеството данни, които всяко единично пробиване може да изложи.

Хигиената на данните допълва тази първа линия на защита. Организации, които не знаят какви чувствителни данни съхраняват, къде се намират те или кой има достъп до тях, нямат начин да ограничат какво може да открадне атакуващ. Редовното одитиране и минимизиране на съхраняваните чувствителни данни, криптирането им в покой и премахването на това, което вече не е необходимо, свива целта, дори ако атакуващите успеят да влязат.

Изграждане на план за реагиране при инциденти, преди да сте ударени

Дори силните превантивни мерки могат да се провалят срещу решителен атакуващ, поради което план за реагиране при инциденти трябва да съществува преди, а не по време на криза. План, изграден в средата на активна атака, под натиск и с отброяващ часовник от атакуващия, е много по-вероятно да доведе до скъпи грешки.

Ефективният план идентифицира кой има правомощия да взема решения, включително дали да се ангажират правоприлагащи органи или външни специалисти по реагиране при инциденти, преди ситуацията да ескалира. Той определя как системите се изолират, за да се спре страничното движение в момента на засичане на подозрителна активност, и установява комуникационни протоколи, така че правните, техническите и изпълнителните екипи да не работят с различна информация. Той също така отчита реалността на двойното изнудване конкретно: тъй като данните може вече да са откраднати, дори ако криптирането бъде засечено рано, планът трябва да включва стъпки за оценка какви данни може да са били изложени и уведомяване на засегнатите страни, както се изисква от закона.

Какво означава това за вас

За повечето организации практическата промяна е следната: защитата срещу ransomware вече не може да се третира чисто като проблем с резервни копия и възстановяване. Двойното изнудване означава, че щетата често е нанесена, преди да разберете, че атака е в ход. Това прави контрола на достъпа, сегментацията и сигурните отдалечени връзки също толкова важни, колкото планирането на възстановяването. Ако вашата организация или личната ви настройка разчита на отдалечен достъп до чувствителни системи, използването на реномиран VPN със силна удостовереност е основна стъпка, а не опционален екстра. Атакуващите също стават все по-усъвършенствани в начина, по който оказват натиск върху жертвите след пробив, което си струва да се разбере самостоятелно.

Практически изводи

  • Приемете, че всеки ransomware инцидент може да е и изтичане на данни, и планирайте отговора си съответно, не само около възстановяването на файлове.
  • Сегментирайте мрежата си, така че едно компрометирано устройство или акаунт да не може да достигне всичко, особено резервните системи.
  • Изисквайте VPN достъп с многофакторна удостовереност за всяка отдалечена връзка към вътрешни системи и избягвайте излагането на отдалечени достъпни протоколи директно в интернет.
  • Одитирайте какви чувствителни данни реално съхранявате и къде, и премахнете или криптирайте това, от което не се нуждаете.
  • Изградете и репетирайте план за реагиране при инциденти сега, включително правомощия за вземане на решения и комуникационни стъпки, за да не импровизирате по време на активна атака.
  • Не третирайте плащането на откуп като надежден път за възстановяване. Няма договор, който да принуди атакуващите да изтрият откраднатите данни или да предоставят работещо дешифриране, и плащането не гарантира, че данните ви няма да изплуват отново по-късно.