Банди за рансъмуер вече се целят в ИТ мениджъри, а не в изпълнителни директори

Защо ИТ мениджърите вече са основната мишена на рансъмуера

Години наред в средите по сигурност се смяташе, че групировките за рансъмуер се насочват директно към върха на организационната структура: изпълнителния директор, финансовия директор, всеки, който държи ключовете за решението за най-голямото плащане. Новите разузнавателни данни за заплахите обръщат това предположение с главата надолу. Вместо да преследват ръководители, бандите за рансъмуер все по-често се насочват към 40-годишния ИТ мениджър – човекът, който реално притежава административен достъп, разбира структурата на мрежата и често има по-голямо практическо влияние върху това дали ще бъде платен откуп, отколкото този, който подписва чековете.

Това има значение, защото разкрива нещо за начина на мислене на атакуващите. Те не търсят непременно най-висшата титла. Търсят човека, който се намира на пресечната точка между достъп и власт – някой достатъчно техничен, за да има дълбоки системни привилегии, но и достатъчно вграден в бизнеса, за да бъде потърсен за съвет, когато настъпи криза. В много малки и средни организации този човек е ИТ мениджърът, а не изпълнителният директор.

Как атакуващите преминават през бизнес функциите, за да ги открият

Проучването сочи към преднамерен, методичен подход. Вместо да скачат директно към една-единствена високостойностна цел, атакуващите изглежда си проправят път през различни бизнес функции в организацията жертва. Те проверяват последователно човешки ресурси, финанси, операции и ИТ отдел, търсейки комбинацията от ценни данни и хора, способни да повлияят на плащането на откуп.

Този подход функция по функция увеличава шансовете за успех по два начина. Първо, разширява мрежата: ако атакуващият не може да получи полезен достъп през един отдел, опитва през друг. Второ, помага им да картографират кой наистина има значение в организацията, когато нещата се объркат. ИТ мениджър, който контролира резервните системи, администраторските идентификационни данни и мрежовото сегментиране, често е много по-ценен за компрометиране от изпълнителен директор, който може дори да не знае къде се намират критичните данни.

За организации, които вече са виждали как се развиват тактиките за социално инженерство, това се вписва в по-широк модел. Бандите също така експериментират с тактики за психологически натиск далеч отвъд техническото проникване, включително фабрикувани документи с правно звучене, пускани заедно с бележките за откуп, за да накарат жертвите да се почувстват притиснати в ъгъла – тактика, описана в Банди за рансъмуер добавят фалшиви правни заплахи с ИИ към бележките за откуп. Преориентацията на насочването към ИТ мениджъри и използването на фабрикувани правни заплахи сочат към една и съща основна стратегия: атакуващите оптимизират спрямо този, който може да бъде притиснат най-бързо, а не просто спрямо този с най-голямата титла.

Какво разкрива тази промяна за модерния наръчник за изнудване

По-широкият доклад определя това като част от екосистема на рансъмуера, която все повече се фокусира върху изнудването, а не върху чистото прекъсване чрез криптиране. Тази разлика има значение. Когато целта се измести от заключване на системи към заплаха от разкриване и репутационни щети, се променя и сметката кого да се атакува. На атакуващите не им е нужно изпълнителният директор да усети натиска; нужен им е някой с достатъчно оперативна власт, за да ескалира заплахата вътрешно, и с достатъчно технически достъп, за да потвърди, че твърденията на атакуващите са реални.

Тази еволюция следва по-широка тенденция, вече документирана в ландшафта на рансъмуера: по-фрагментирано, по-конкурентно поле от банди, всяка от които усъвършенства своя наръчник, за да се открои и да приключва сделките по-бързо, както е описано подробно в Рансъмуер 2026: Повече банди, повече жертви, без забавяне. Тъй като все повече групи се конкурират за жертви и откупни плащания, ефективността се превръща в конкурентно предимство, а насочването към човека, който най-вероятно ще вземе решение, е просто по-ефективно от насочването към титла.

Практически стъпки за защита на привилегировани акаунти и вътрешен достъп

За малките и средни фирми без специализирани екипи по сигурност тази промяна е полезен сигнал за събуждане. Защитата на входящата поща на изпълнителния директор вече не е достатъчна. Организациите трябва да помислят кой притежава привилегирован достъп във всеки отдел, а не само в ръководния пакет.

Няколко практически стъпки, които си заслужава да бъдат приоритизирани:

• Одитирайте кой реално има достъп на администраторско ниво. ИТ мениджърите, системните администратори и всеки с идентификационни данни за резервни копия или мрежова конфигурация трябва да се третират като високостойностни цели, с многофакторно удостоверяване и хардуерни ключове за сигурност, където е възможно.
• Сегментирайте достъпа по функции. Ограничаването на това, до колко може да се докосне един акаунт, намалява печалбата за атакуващите, които компрометират един отдел.
• Прилагайте агресивно кръпки и следете за експлоатация. Неактуализираните системи остават честа входна точка, а мащабът на скорошните разкрития на уязвимости, включително Microsoft коригира рекордните 570 уязвимости, 2 нулеви дни експлоатирани, показва колко голяма повърхност за атака управляват организациите във всеки един момент.
• Обучете персонала на средно ниво, а не само ръководителите. Симулациите на фишинг и обучението за осведоменост по сигурността трябва да се простират далеч отвъд лидерския екип.

Какво означава това за вас

Ако работите в ИТ отдела, системната администрация или на всяка роля с повишен достъп, разберете, че може да сте по-привлекателна цел от вашия изпълнителен директор. Бандите за рансъмуер се целят в ИТ мениджъри, защото те предлагат най-бързия път както до данните, така и до влиянието върху вземането на решения. Това означава, че вашите идентификационни данни, имейл акаунт и контрол върху достъпа заслужават същото ниво на защита, което обикновено се запазва за ръководителите.

Приложими изводи

• Третирайте ИТ мениджърите и системните администратори като високостойностни цели, изискващи силно многофакторно удостоверяване и контрол на достъпа.
• Прегледайте и ограничете привилегирования достъп във всички отдели, а не само на ръководно ниво.
• Поддържайте системите актуализирани и следете за признаци на латерално придвижване между бизнес функциите.
• Разширете обучението за осведоменост по сигурността до техническия персонал на средно ниво, а не само до лидерите.
• Бъдете информирани за развитието на екосистемата на рансъмуера, тъй като тактиките на атакуващите продължават да се изместват към натиск, фокусиран върху изнудване, а не върху чисто криптиране.