Жертвите на ransomware, които плащат с надеждата проблемът да изчезне, често са разочаровани. Ново публикувано глобално проучване, Докладът за ransomware в ерата на ИИ, анкетира близо 1000 специалисти по сигурността в 12 пазара и установи, че плащането на откуп далеч не е гарантирано решение. Констатациите добавят нова тежест към предупреждението, което изследователите по сигурността повтарят от години: повторните изнудвачески плащания при ransomware са реален и нарастващ риск, а не рядък краен случай.

Какво установи Докладът за ransomware в ерата на ИИ

Проучването рисува отрезвяваща картина на това как организациите реагират, след като ransomware ги удари. Над половината от организациите, претърпели атака, 54%, в крайна сметка са платили откуп в опит да възстановят чувствителните си данни. От тези, които са платили, 56% наистина са си върнали достъпа до файловете или системите си. Но по-тревожното число е това, което се случва след това: повече от една трета от жертвите, 37%, са получили второ изнудваческо искане, след като вече са платили първото.

Само тази статистика би трябвало да промени начина, по който организациите мислят за реакцията при ransomware. Плащането не е еднократна сделка, която приключва инцидента. За повече от една трета от жертвите в това проучване то е просто началният ход в по-дълъг и по-скъп цикъл.

Защо плащането не гарантира безопасност или възстановяване на данните

Струва си да се задържим върху математиката тук. Дори сред организациите, които са платили, близо половината така и не са възстановили напълно данните си. А голяма част от тези, които са си върнали файловете, са били отново атакувани — било от същия нападател, изискващ повече пари, било от различна група, която е видяла плащането като доказателство, че жертвата е склонна да преговаря.

Този модел съвпада с други скорошни изследвания. Проучване на Proofpoint, отразено от vpn.social, също установи, че плащането на ransomware банди често има обратен ефект, като значителна част от платилите жертви се сблъскват с нови опити за изнудване. След като една организация плати, тя може да попадне в списък с потвърдени платци, информация, която циркулира сред престъпни групи и я прави по-привлекателна цел за бъдещи атаки, а не по-малко привлекателна.

Освен това при преговорите за ransomware няма приложим договор. Нападателите нямат правен или репутационен стимул да спазят своята част от сделката, след като парите са преведени. Ключовете за декриптиране могат да бъдат непълни, с грешки или просто никога да не бъдат доставени. Откраднатите данни, използвани като лост за натиск, могат да бъдат продадени, изтекли или задържани за втори кръг на изнудване, независимо от обещанията.

Алтернативите за превенция: резервни копия, криптиране и сегментиране на мрежата

При тези шансове по-устойчивата стратегия е да се намали вероятността изобщо да се наложи да вземате решение дали да платите. Няколко практики последователно се очертават като ефективни защити:

  • Поддържайте офлайн, тествани резервни копия. Резервни копия, които са изключени от основната мрежа и редовно се тестват за възстановяване, означават, че организацията може да се възстанови, без да преговаря с нападателя.
  • Криптирайте чувствителните данни в покой и при предаване. Дори ако нападателите извлекат файлове, силното криптиране ограничава това, което те реално могат да използват или продадат, намалявайки лоста за натиск при заплаха за изтичане на данни.
  • Сегментирайте мрежите. Разделянето на системите в изолирани зони ограничава докъде може да се разпространи ransomware, след като получи първоначален достъп, ограничавайки щетите до по-малка част от организацията.
  • Прилагайте последователно кръпки и наблюдение. Много ransomware атаки все още експлоатират известни, некръпнати уязвимости или слаби идентификационни данни за отдалечен достъп, така че основната хигиена затваря голяма част от входните точки.

Нито една от тези мерки не прави организацията имунизирана срещу атака, но заедно те намаляват както вероятността от успешно пробиване, така и натиска да се плати, ако такова се случи.

Изграждане на план за реакция при инцидент, преди атаката да удари

Организациите, които се справят най-добре след ransomware инцидент, обикновено са тези, които вече са репетирали реакцията си, преди атаката да се е случила. Това означава да имат документиран план, който уточнява кой взема решението дали да се плати, кои правни и правоприлагащи контакти да бъдат уведомени, как се осъществява комуникацията със служители и клиенти и как системите се изолират и възстановяват.

Провеждането на симулационни упражнения на маса, при които персоналът преминава през симулиран сценарий на атака, помага да се разкрият пропуски в плана, докато няма реално напрежение на линия. Това също ускорява действителната реакция, когато инцидентът се случи, намалявайки прозореца на експозиция и намалявайки изкушението да се плати просто защото изглежда, че няма друга готова опция.

Какво означава това за вас

За ИТ лидерите и екипите по сигурността този доклад е напомняне, че повторните изнудвачески плащания при ransomware са достатъчно чести, за да бъдат включени в планирането, а не са най-лошият изолиран случай. Отнасяйте се към плащането на откуп като към крайна мярка с реална вероятност за провал, а не като към надеждна застраховка. Заделяйте бюджет за превенция (резервни копия, сегментиране, наблюдение) по същия начин, по който бихте заделяли за всяка друга основна инфраструктурна цена, защото числата подсказват, че това е по-евтино в дългосрочен план от повтарящите се преговори с нападатели.

За отделни потребители и по-малки организации без специален екип по сигурността същите принципи се мащабират надолу: пазете офлайн копие на всичко незаменимо, използвайте криптиране там, където е налично, и знайте предварително кого бихте се обадили, ако системите ви някога бъдат заключени.

Ключови изводи

  • 54% от анкетираните организации, претърпели ransomware атака, са платили откупа, но само 56% от платилите са си възвърнали напълно достъпа до данните.
  • 37% от организациите, които са платили, са били ударени с второ изнудваческо искане, което показва, че плащането не прекратява риска.
  • Офлайн резервните копия, криптирането и сегментирането на мрежата намаляват както шансовете за успешна атака, така и натиска да се плати.
  • Тестван план за реакция при инцидент, изграден преди атаката, съкращава времето за възстановяване и намалява зависимостта от плащания на откуп.
  • Читателите могат да разгледат констатациите от проучването на Proofpoint за допълнителни потвърждаващи данни за това колко често плащанията на откуп не успяват да разрешат атаката.