Нови данни потвърждават, че плащанията при рансъмуер не купуват трайна безопасност

Нови репортажи, откроени от The Register и разгледани в кратък материал на SC Media, допълват нарастващия обем от доказателства, че плащането на откуп при рансъмуер не спира надеждно бъдещите атаки. Организациите, които плащат, за да възстановят данни или да прекратят изнудване, често биват атакувани отново – понякога от същата престъпна група, а друг път от съвсем различна, която е научила, че жертвата е склонна да плаща. Този модел се очертава дори докато координирани усилия на правоприлагащите органи, като операция „Кронос“, работят за разрушаването на големи рансъмуер операции отвътре.

Изводът е ясен, но неудобен за много организации: плащанията при рансъмуер и повторните атаки са тясно свързани, не защото плащането гарантира безопасност, а защото то често сигнализира на атакуващите, че целта е печеливша и неподготвена.

Защо плащането създава фалшиво чувство за сигурност

Когато даден бизнес е заключен от собствените си системи или заплашен с публично изтичане на данни, плащането на откуп може да изглежда като най-бързия път обратно към нормалната работа. Но новите данни затвърждават това, което изследователите по сигурността казват от години: плащането е транзакция, а не гаранция. Рансъмуер бандите са престъпни предприятия и не съществува обвързващо споразумение, че данните ще бъдат изтрити, че ключовете за декриптиране действително ще работят или че същите уязвимости няма да бъдат използвани отново.

Организациите, които плащат, често го правят, защото им липсват адекватни резервни копия, планове за реакция при инциденти или вътрешна експертиза за бързо възстановяване на системите. Същите тези основни слабости обикновено остават на място и след плащането на откупа, което означава, че вратата, през която атакуващите са влезли първия път, често все още е отворена. Плащането адресира непосредствената криза, а не първопричината.

Именно затова проучване на Proofpoint установи, че плащането на рансъмуер банди има обратен ефект далеч по-често, отколкото жертвите очакват. Проучването постави конкретни цифри зад предупреждението, показвайки, че значителен дял от организациите, които са платили, все пак са претърпели загуба на данни, допълнителни опити за изнудване или повторни пробиви.

Как рансъмуер бандите идентифицират и атакуват повторно предишни платци

Рансъмуер операциите все повече функционират като бизнеси, с партньорски мрежи, обслужване на клиенти за жертвите и споделено разузнаване за това кои цели си струва да бъдат атакувани. Щом дадена организация плати, тази информация може да циркулира сред престъпните групи – чрез директно споделяне на данни, продажба на мрежов достъп или просто чрез репутация в ъндърграунд форумите.

Жертва, която плаща бързо и без значителна съпротива, се превръща в позната величина: мека цел с демонстрирана готовност да предаде пари. Дори когато действия на правоприлагащите органи като операция „Кронос“ успеят да разрушат конкретна рансъмуер инфраструктура, основополагащата екосистема от брокери на достъп, откраднати идентификационни данни и незакърпени уязвимости, довели до първоначалния пробив, често остава достъпна за други заплашващи участници. Разрушаването на една банда не защитава непременно предишна жертва от друга, която използва същите слабости.

Практически защити: резервни копия, сегментиране и укрепване на VPN

Най-ясният урок от тези данни е, че превенцията и устойчивостта имат по-голямо значение от преговорите. Няколко практически стъпки правят измерима разлика:

  • Поддържайте офлайн, тествани резервни копия. Резервните копия, които са изключени от основната мрежа и редовно се тестват за възстановяване, са единственият най-ефективен начин да избегнете необходимостта изобщо да плащате.
  • Сегментирайте мрежите. Ограничаването на това докъде може да стигне атакуващият веднъж влязъл вътре намалява радиуса на поражение от всяко компрометирано устройство или акаунт.
  • Укрепете отдалечения достъп. VPN инструментите и инструментите за отдалечен работен плот са чести входни точки за рансъмуер. Налагането на многофакторно удостоверяване, своевременното закърпване на VPN софтуера и затварянето на неизползваните точки за отдалечен достъп премахват лесна опорна точка за атакуващите.
  • Изградете план за реакция при инциденти преди да се случи атака. Да знаете на кого да се обадите, как да изолирате засегнатите системи и как да комуникирате със заинтересованите страни намалява натиска да платите, само за да накарате проблема бързо да изчезне.

Какво означава това за вас

Независимо дали управлявате ИТ за малък бизнес или просто поддържате собствените си устройства, посланието от тези данни е едно и също: не приемайте, че плащането е предпазна мрежа. Ако вашата организация някога бъде ударена с искане за откуп при рансъмуер, третирайте инцидента като сигнал, че съществуват пропуски в сигурността, а не като преговори, които да бъдат разрешени и забравени. Организациите, които са в най-добра позиция да се възстановят бързо и да избегнат превръщането си в повторни жертви, са тези, които са инвестирали в резервни копия, мрежово наблюдение и контрол на достъпа преди да настъпи атака, вместо да се борят хаотично да реагират след факта.

Основни изводи

  • Нови данни показват, че плащанията при рансъмуер и повторните атаки често вървят ръка за ръка, което подкопава предположението, че плащането разрешава заплахата.
  • Действията на правоприлагащите органи срещу конкретни банди не премахват по-широката екосистема от уязвимости, довели до първоначалната атака.
  • Офлайн резервните копия, мрежовото сегментиране и укрепеният отдалечен достъп са по-надеждни защити от всякакви преговори за плащане.
  • Организациите трябва да изградят планове за реакция при инциденти сега, вместо да решават как да реагират по време на активна атака.

Рансъмуерът няма да изчезне, но решението да се плати не трябва да се третира като бързо решение. Приоритизирането на превенцията, устойчивите резервни копия и сигурния отдалечен достъп все още е най-ефективният начин да държите данните си и вашата организация извън прицела на атакуващите.