Какво установи проучването на Proofpoint за повторните атаки

Ново проучване на компанията за киберсигурност Proofpoint предлага отрезвяваща проверка на реалността за организации, които третират плащанията на откуп при рансъмуер като бързо решение. Според изследването, над една трета от компаниите, платили искане за откуп, по-късно са били обект на вторичен опит за изнудване. С други думи, плащането на чека не затваря книгата на инцидента; за значителна част от жертвите то просто отваря нова глава.

Това откритие има значение, защото оспорва често срещаното предположение в управителните съвети по време на криза: че плащането на нападателите е най-бързият начин проблемът да изчезне. Данните на Proofpoint предполагат обратното. Веднъж щом компания демонстрира, че е склонна да плаща, тя може да се превърне в повтаряща се мишена – или за първоначалния нападател, или за различна група, която е научила, че организацията е податлива.

Защо плащането на откуп не гарантира безопасността на данните

Основният проблем, подчертан от Proofpoint, е, че преговорите за откуп се градят на доверие с престъпници, които нямат обвързващо задължение да спазят своята част от сделката. Плащането за отключване на шифровани файлове не гарантира, че откраднатите данни вече не са копирани другаде, нито пък пречи на нападателите да препродадат идентификационни данни за достъп, мрежови карти или извлечени файлове на други престъпни групи.

Именно това е механизмът зад цикъла на повторно изнудване, описан в проучването. Съвременните операции с рансъмуер все повече разчитат на двойно изнудване – криптиране на системите, като същевременно крадат чувствителни данни, преди да поискат плащане. Дори ако ключът за декриптиране бъде доставен според обещанието, самите откраднати данни остават пасив. Те могат да бъдат използвани за втори опит за изнудване, продадени на престъпни пазари или използвани от съвсем различен заплашителен актьор, който закупи достъп от първоначалния нападател. Плащането разрешава непосредствения престой, но не прави нищо за справяне с основното излагане на данните на организацията.

Нарастващата заплаха за малкия и средния бизнес

Докато големите предприятия традиционно доминират заглавията за рансъмуер, по-малките и средни фирми все повече попадат в прицела, често защото разполагат с по-малко ресурси за инвестиции в откриване, реагиране и възстановяване. Тези организации могат да бъдат особено уязвими към модела на повторно изнудване, описан от Proofpoint, тъй като едно успешно плащане може да ги маркира като склонни и способни да платят отново.

Тази динамика вече се проявява при операциите „рансъмуер като услуга“, които конкретно се насочват към по-малки организации. Както е подробно описано в материала за бандите за рансъмуер Qilin и The Gentlemen, засилващи атаките срещу МСП, тези групи се конкурират за надмощие, като се фокусират върху фирми, които може да нямат опит в преговорите, правни консултации или инфраструктура за реагиране на инциденти, с каквато разполагат по-големите компании. Когато по-малка компания плати веднъж, тя може да няма ресурсите да промени коренно своята позиция по сигурността след това, оставяйки същите уязвимости отворени за следващия опит.

Намаляване на риска: резервни копия, криптиране и планиране на инциденти

Констатациите на Proofpoint затвърждават послание, което професионалистите по сигурността повтарят от години: превенцията и подготовката имат по-голямо значение от преговорите. Няколко практически стъпки могат значително да намалят както вероятността от атака, така и щетите, ако такава настъпи.

Първо, поддържайте офлайн или неизменяеми резервни копия, които се тестват редовно. Плащането на откуп често става единствената опция, когато резервните копия липсват, не са актуални или самите те са били криптирани по време на атаката. Второ, криптирайте чувствителните данни в покой и при пренос, така че дори ако нападателите извлекат файлове, откраднатите данни да имат ограничена стойност. Трето, изградете план за реагиране при инциденти преди да настъпи атака, а не по време на нея. Този план трябва да включва ясни роли, комуникационни протоколи и предварително проверени правни и съдебни контакти, така че решенията да не се вземат под паника и времеви натиск.

Организациите също трябва да приемат, че всички данни, до които е проникнато, в крайна сметка могат да станат публични или да бъдат препродадени, независимо дали е платен откуп. Планирането за такава възможност – чрез процедури за уведомяване на клиенти, предлагане на кредитен мониторинг и правен преглед – е много по-надеждно, отколкото надеждата, че престъпна група ще изтрие откраднатите файлове след плащане.

Какво означава това за вас

Ако вашата организация някога се сблъска с искане за откуп при рансъмуер, изследването на Proofpoint предполага, че решението да се плати не трябва да се третира като гарантирано разрешение. Рискът от повторно изнудване при плащане на откуп за рансъмуер е реален и документиран: плащането може да ви маркира като мишена, вместо да приключи инцидента. Независимо дали управлявате малък бизнес или отговаряте за сигурността на по-голяма компания, най-безопасното предположение е, че всяко събитие с рансъмуер може да не е еднократно, освен ако не се справите с първопричините, позволили проникването на първо място.

Основни изводи

  • Не приемайте, че плащането слага край на заплахата. Proofpoint установи, че над една трета от платилите жертви се сблъскват с втори опит за изнудване.
  • Приоритизирайте неизменяеми, тествани резервни копия, така че плащането никога да не е единственият ви път към възстановяване.
  • Криптирайте чувствителните данни, за да ограничите щетите от извличане, дори ако системите са компрометирани.
  • Изградете и репетирайте план за реагиране при инциденти преди атака, а не по време на нея.
  • Признайте, че по-малките фирми са все по-често мишена на групи като Qilin и The Gentlemen, което прави проактивната защита от съществено значение независимо от размера на компанията.