Какво показват новите данни за плащанията на откуп при рансъмуер

Нов доклад от компанията за сигурност Proofpoint, публикуван в сряда, предоставя неприятно потвърждение за всеки, който някога е обмислял да плати на група за рансъмуер, за да се отърве от проблем: значителен дял от жертвите, които плащат, в крайна сметка се изправят пред второ искане за изнудване. Докладът затвърждава нещо, за което изследователи по сигурността и специалисти по реакция при инциденти спорят от години – че преговорите при рансъмуер не се водят добросъвестно и че плащането не гарантира, че нападателят наистина ще се оттегли.

Данните на Proofpoint добавят конкретни числа към модел, който защитниците отдавна подозират въз основа на отделни случаи. Организациите, които се съгласяват с искане за откуп, не си купуват приключване на проблема. Те често си купуват втори кръг на изнудване за същия нападател или за съвсем друга група, която да се върне и да поиска още.

Защо плащането на откуп кани втора атака

Логиката зад повторното изнудване е проста, след като я разгледате от гледна точка на нападателя. Целият бизнес модел на група за рансъмуер зависи от това жертвите да вярват, че плащането приключва кризата. Но няма правен договор, механизъм за прилагане или достатъчно силен репутационен риск, който да гарантира думата на нападателя, след като парите са преведени. Ако дадена жертва вече е демонстрирала готовност и способност да плати, тя става по-привлекателна мишена, а не приключена сметка.

Това е една от причините, поради които изследователите по сигурността описват преговорите при рансъмуер като коренно различни от обикновена бизнес сделка. Другата страна няма стимул наистина да се оттегли. Престъпна група, която веднъж успешно е изтръгнала плащане, има всички основания да провери дали същата организация ще плати отново – било чрез повторно криптиране на системите, заплаха за ново изтичане на предварително откраднати данни или просто чрез предявяване на ново искане, свързано с оригиналния пробив.

Тази динамика е тясно свързана с това, което индустрията нарича двойно изнудване или многократно изнудване, при което нападателите не само криптират файлове, но и предварително крадат данни, което им дава множество точки за натиск, за да притиснат жертвата дори след плащането на откуп. Констатациите на Proofpoint подсказват, че дори след като първоначалната кампания за натиск успее, източникът не пресъхва непременно.

Как неоткритите пробиви улесняват повторното изнудване

Една от причините, поради които повторното изнудване работи толкова добре за нападателите, е, че много жертви не разбират напълно обхвата на пробива до момента, в който решат да платят. Ако дадена организация открие криптирани файлове и договори откуп, без първо да установи точно какви данни са били достъпвани, копирани или оставени като задна вратичка, тя на практика се съгласява на цена, без да знае какво точно откупува.

Това разминаване между откриване и реакция е повтаряща се тема в изследванията на рансъмуера. Както е описано в свързан доклад за неуспехи при откриване на рансъмуер, почти половината от жертвите на рансъмуер губят данни, преди дори да осъзнаят, че се извършва атака. Това забавяне има огромно значение тук: ако жертвата не знае, че нападателят е изтеглил данни седмици преди да разгърне рансъмуера, плащането за отключване на файловете не решава проблема с откраднатата информация, която се съхранява на сървъра на престъпниците и може да бъде монетизирана отново чрез второ искане, продадена отделно или използвана за нова заплаха за изтичане в бъдеще.

Защитни стъпки: Архивиране, наблюдение и планиране на реакция при инциденти

Практическият извод от доклада на Proofpoint не е, че плащането на откуп никога не трябва да се случва при никакви обстоятелства. А че плащането никога не трябва да се третира като гарантирано разрешение. Организациите и лицата, управляващи по-малки мрежи или бизнеси, са по-добре обслужени, ако инвестират нагоре по веригата в превенция и откриване, вместо надолу в преговори.

Това означава поддържане на редовни, тествани, офлайн архиви, така че криптираните файлове да могат да бъдат възстановени без плащане. Означава инвестиране в инструменти за наблюдение, които могат да хванат неоторизиран достъп до данни, преди нападателите да имат време да изтеглят големи обеми чувствителна информация. И означава да имате план за реакция при инциденти, преди да настъпи атака, включващ криминалистично разследване, за да се определи точно какво е било достъпвано, а не само дали файловете са криптирани.

Какво означава това за вас

За собствениците на малък бизнес и физическите лица посланието от това изследване е ясно: не приемайте, че плащането на откуп е бързото, чисто решение, което изглежда в момента. Нападателите, които вече са доказали, че са готови да ви изнудват веднъж, разполагат както със средствата, така и с мотива да го направят отново. Истинската защита срещу атаки с повторно изнудване при рансъмуер не е по-добра стратегия за преговори – тя е в намаляването на шансовете изобщо да попаднете в тази позиция чрез солидни архиви, по-бързо откриване и ясен план за реакция.

Приложими изводи

  • Третирайте плащането на откуп като последна мярка, а не като гарантирано решение, тъй като данните на Proofpoint показват, че нападателите често се връщат с нови искания.
  • Приоритизирайте офлайн, тествани архиви, така че самото криптиране да не може да наложи решение за плащане.
  • Инвестирайте в инструменти за откриване, които улавят изтеглянето на данни навреме, тъй като забавеното откриване дава на нападателите повече лостове за повторно изнудване.
  • Изградете план за реакция при инциденти преди да настъпи атака, включващ криминалистични стъпки за установяване на пълния обхват на всеки пробив.
  • Приемайте, че всякакви данни, откраднати преди плащането на откуп, остават бъдещ риск, независимо от обещанията на нападателите.