Защо плащането на откуп не слага край на проблема

Когато ransomware заключи системите на дадена компания, инстинктът да се плати и да се продължи напред е разбираем. Ново проучване на компанията за сигурност Proofpoint, обхващащо 953 компании, подсказва, че този инстинкт може да има обратен ефект. Според резултатите организациите, които плащат искания откуп, често се превръщат в по-привлекателни цели, а не в по-малко. Веднъж щом дадена престъпна група потвърди, че жертвата е склонна да плати, същата жертва може да бъде отбелязана за последваща атака.

Това има значение, защото логиката зад плащането на откуп винаги е почивала на проста сделка: пари срещу приключване на ситуацията. Ръководителите одобряват плащания, вярвайки, че това възстановява системите, изтрива откраднатите данни, ограничава прекъсването на бизнеса и защитава клиентите. Изследването на Proofpoint показва, че тази сделка е далеч по-ненадеждна, отколкото повечето организации предполагат. Плащането не приключва непременно взаимоотношенията с атакуващия; в някои случаи то поставя началото на нови.

Бизнес логиката зад второто искане

Ransomware групите работят като бизнес, а бизнесът търси редовни клиенти. Компания, която вече е демонстрирала, че ще плати, е, от гледна точка на престъпника, доказан източник на приходи. Тя разполага с оборотен капитал, ръководен екип, склонен да разреши плащане бързо, и по всяка вероятност все още има уязвимостите, които изобщо са позволили първата атака да успее.

Последната точка е от решаващо значение. Плащането на откуп адресира непосредствената криза, но рядко оправя основните пропуски в сигурността, които са позволили на атакуващите да влязат. Ако същият вектор на фишинг, неактуализиран софтуер или открита точка за отдалечен достъп все още съществува след инцидента, нищо не пречи на същата група, или на афилиейт, закупил достъп до същите данни на жертвата, да опита отново. По-ранното ни отразяване на изследването на Proofpoint за платците на ransomware разглежда по-задълбочено колко често се случват тези повторни инциденти и защо самото плащане може да функционира като сигнал към други престъпни групи, че целта е уязвима.

Намаляване на риска от изнудване преди да е започнало

Добрата новина е, че организациите не са безпомощни в тази ситуация. Стъпките, които намаляват риска от ransomware, са до голяма степен същите стъпки, които екипите по сигурност препоръчват от години – просто носят по-голяма спешност в светлината на тези данни.

Поддържането на офлайн, тествани резервни копия остава най-ефективният начин изобщо да избегнете решението да плащате или не. Ако системите могат да бъдат възстановени от резервно копие без използване на дешифриращия ключ на атакуващия, цялата предпоставка на изнудването рухва. Мрежовата сегментация също има значение: ограничаването на това колко далеч може да стигне атакуващият веднъж влязъл вътре, намалява радиуса на поражение от всяко отделно проникване, което от своя страна намалява лостовете за натиск по време на преговори за откуп.

Непрекъснатото наблюдение на заплахи и откриването на заплахи в крайните точки помагат за улавяне на проникванията, преди да ескалират в пълни събития на шифроване. Много ransomware атаки се развиват в продължение на дни или седмици между първоначалния достъп и финалния полезен товар; този прозорец е възможност за намеса. Практиките за сигурен отдалечен достъп, включително използването на VPN за криптирани връзки и многофакторно удостоверяване за всеки, който влиза отвън, затварят една от по-често срещаните входни точки, които престъпниците експлоатират. Никоя от тези мерки не гарантира имунитет, но заедно намаляват шансовете даден бизнес изобщо да се окаже пред бележка за откуп.

Какво означава това за вас

Ако вашата организация някога бъде ударена от ransomware, резултатите на Proofpoint подсказват, че плащането не бива да се третира като чисто решение. Преди да разрешите каквото и да е плащане, си струва да попитате дали основната уязвимост е идентифицирана и затворена, защото ако не е, плащането може просто да бъде първата вноска в продължаващи взаимоотношения с атакуващия.

Това също е момент да включите правоприлагащите органи рано, а не като закъсняла мисъл. Агенциите, които проследяват ransomware групи, понякога могат да предложат инструменти за декриптиране, разузнавателни данни за заплахи относно поведението на конкретна банда или контекст дали дадена група има история на повторно изнудване. Привличането на външен експертен опит за реакция при инциденти преди вземането на решение за плащане, а не след това, дава на организацията по-ясна представа за действителните й възможности.

За по-малките бизнеси без специализирани екипи по сигурност, сметката е подобна, но ресурсите са по-оскъдни. Това прави превенцията още по-важна: основни хигиенни практики като редовни резервни копия, актуализиран софтуер и инструменти за сигурен отдалечен достъп правят повече за намаляване на риска, отколкото което и да е решение след инцидент някога би могло.

Основни изводи

Основният урок от това проучване на Proofpoint е ясен: плащането на откуп купува време, но не непременно безопасност. Организациите трябва да третират всеки ransomware инцидент като доказателство за пропуск в сигурността, който се нуждае от поправяне, независимо дали е направено плащане. Практическите стъпки, които си струва да се приоритизират, включват поддържане на офлайн резервни копия, сегментиране на мрежите, наблюдение за ранни признаци на проникване и осигуряване на отдалечен достъп със силно удостоверяване и криптирани връзки.

Най-важното е, че всяко решение за плащане трябва да се взема заедно със сериозен план за отстраняване на проблемите, а не вместо него. Ransomware бандите управляват бизнес и данните подсказват, че те знаят точно кои клиенти си струва да таксуват два пъти.