Какво показват новите данни за повторно изнудване с рансъмуер

Нови данни, съобщени от Connor Jones в DataBreaches.Net, потвърждават това, което експертите по сигурност подозират от години: плащането на група за рансъмуер не слага край на изпитанието, а често само бележи началото на втори кръг. Според цитираните в доклада анкетни данни, 58 процента от засегнатите организации във Великобритания са избрали да платят искания откуп миналата година. От тях 22 процента са били атакувани отново от същата или друга престъпна група, която е поискала второ плащане.

Това означава, че приблизително една от пет организации, взели трудното решение да платят, не са получили нищо трайно срещу парите си. Цикълът на изнудване просто се рестартира, понякога в рамките на седмици. Този модел на повтарящи се плащания за изнудване с рансъмуер се превръща в определяща характеристика на настоящия пейзаж на заплахите и кара екипите по сигурност и ръководителите да преосмислят цялата логика около това дали плащането някога е рационален отговор.

Защо еднократното плащане води до втора атака

Логиката на повторното изнудване е проста от гледна точка на престъпниците. След като една организация демонстрира, че е склонна да плати, тя се превръща в белязана цел. Операторите на рансъмуер водят записки кои жертви са отстъпили, колко бързо са платили и колко са били готови да дадат. Тази информация често циркулира между афилиейт мрежи и понякога се продава или споделя между престъпни групи, работещи по модела „рансъмуер като услуга“.

Жертва, която плати 500 000 долара веднъж, на практика сигнализира, че разполага както с парични резерви, така и с толерантност към риска да плати отново. Нападателите знаят, че втора интрузия, дори и по-малко сложна, има голям шанс да успее, ако основните уязвимости, позволили първия пробив, никога не са били напълно отстранени. В много случаи на двойно и тройно изнудване откраднатите данни дори не се изтриват след плащане, въпреки обещанията за обратното, оставяйки отворена врата за последващо искане, основано на заплахата от публикуване на същата открадната информация.

Именно затова правоприлагащите органи, включително ФБР, последователно съветват да не се плащат откупи. Плащането не гарантира възстановяване на данни, не гарантира изтриване на откраднати файлове и, както показват тези нови данни, не гарантира, че нападателите ще се оттеглят.

Проактивни защити, които намаляват риска от рансъмуер

Ако плащането не решава надеждно проблема, по-устойчивият път е намаляване на вероятността от успешен пробив на първо място. Няколко защитни слоя постоянно се открояват в заключенията от разследванията на инциденти като разликата между ограничен инцидент и катастрофален такъв.

Сегментирането на мрежата ограничава докъде може да стигне нападателят, след като придобие първоначален достъп. Вместо една плоска мрежа, в която едно компрометирано удостоверение отваря достъп до всичко, сегментираните среди принуждават нападателите да се борят за всеки допълнителен сантиметър, давайки на защитниците време да открият и реагират.

Контролът на достъп с нулево доверие приема, че нито един потребител или устройство не е автоматично надежден, дори вътре в корпоративния периметър. Всяка заявка за достъп се проверява, което прави много по-трудно само откраднати удостоверения да отключат критични системи.

Надеждните, тествани и офлайн резервни копия остават една от най-ефективните налични защити срещу рансъмуер. Криптираните файлове престават да бъдат лост за натиск, когато една организация може да възстанови операциите си от чисти резервни копия, без да преговаря с никого. Ключовата дума е тествани: резервни копия, които не са били проверени чрез реални упражнения по възстановяване, често се провалят точно когато са най-необходими.

Многофакторно удостоверяване, навременно инсталиране на пачове на изложени на интернет системи и непрекъснат мониторинг за необичайно странично придвижване допълват базовия минимум, който разделя организациите, които се възстановяват бързо, от тези, които се оказват изправени пред второ искане за изнудване.

Какво трябва да правят организациите вместо да плащат

Когато инцидент с рансъмуер все пак се случи, инстинктът да се плати бързо и проблемът да изчезне е разбираем, особено под натиск от клиенти, регулатори или борд, настояващ за бързо разрешение. Но данните за повторно изнудване ясно показват, че плащането не е надеждна стратегия за изход. Организациите е по-добре да включат правоприлагащите органи на ранен етап, да ангажират професионалисти по реакция при инциденти, които могат да оценят действителния обхват на излагане на данни, и да бъдат прозрачни със засегнатите заинтересовани страни, вместо да предполагат, че тихо плащане ще накара проблема да изчезне.

Какво означава това за вас

Независимо дали управлявате ИТ за малък бизнес или надзиравате политиката за сигурност в по-голяма организация, тези данни са ясен сигнал за пренасочване на приоритетите. Парите, заделени за резервни фондове за откуп, са много по-добре изразходвани за проекти за сегментиране, внедряване на нулево доверие и инфраструктура за резервни копия, която редовно се тества. Политиките за киберзастраховка и договорите за реакция при инциденти също трябва да бъдат преразгледани, за да се гарантира, че акцентират върху превенцията и способността за възстановяване, а не просто върху покриване на изплащане.

За отделните хора изводът е подобен, но в по-малък мащаб: силни, уникални пароли, многофакторно удостоверяване и редовно архивиране на лични и семейни устройства намаляват вероятността една-единствена инфекция с рансъмуер да се превърне в повтарящ се кошмар.

Приложими изводи

  • Третирайте плащането на откуп като крайна мярка, а не като първи план за реакция; данните показват, че то често не успява да прекрати заплахата.
  • Инвестирайте в мрежово сегментиране, така че един компрометиран акаунт да не може да изложи цялата среда.
  • Приемете принципи на нулево доверие за вътрешен и отдалечен достъп, като проверявате всяка заявка, вместо да се доверявате само на мрежовото местоположение.
  • Поддържайте офлайн, редовно тествани резервни копия, за да не зависи възстановяването от преговори с престъпници.
  • Създайте план за реакция при инциденти сега, преди да настъпи атака, така че решенията да не се взимат под паника и натиск.

Ръстът на повторните плащания за изнудване с рансъмуер е силен аргумент за прехвърляне на ресурси от реактивно преговаряне към проактивна защита. Организациите, които направят този преход сега, ще бъдат в много по-добра позиция от тези, които все още се надяват, че едно-единствено плащане ще накара проблема да изчезне.