Рансъмуер атаките следват вероятността за плащане, а не известността
С години популярният образ на жертва на рансъмуер беше име, познато на всички: болнична система, голяма авиокомпания, глобален производител. Но скорошен анализ прави по-проста и по-полезна точка: рансъмуер атаките следват вероятността за плащане, а не известността. Атакуващите, и по-конкретно affiliates, които извършват мнозинството от рансъмуер проникванията, не гонят заглавия. Те гонят изплащане и това променя кой се озовава в мерника им.
Икономиката зад това е проста. Повечето съвременни рансъмуер операции работят на модел ransomware-as-a-service, при който основна група изгражда malware и инфраструктурата, докато независими affiliates се занимават със самите прониквания. Тези affiliates печелят комисионна само когато жертвата плати. Този единствен факт реорганизира целия процес на избор на цели. Вместо да питат „кой ще предизвика най-голям шум“, affiliates питат „кой е най-вероятно да плати и колко бързо“.
Защо вероятността за плащане бие разпознаваемостта на марката
Когато плащането е единственият източник на доход, известността става без значение, освен ако не корелира с готовността или способността да се плати. Известна марка със силни backup-и, закален план за реакция при инциденти и публичен ангажимент никога да не преговаря с атакуващите всъщност е лоша цел, дори ако проникването в нея би генерирало повече медийно внимание. Междувременно средна по размер компания със по-слаби защити, застраховка срещу киберрискове и бизнес модел, който не може да толерира престой, става далеч по-привлекателна.
Сигналите, които повишават възприеманата вероятност за плащане от жертвата, включват доказателства за налични средства, ясен вътрешен процес за бързо разрешаване на големи плащания, зависимост от непрекъсната дейност и история (публична или предполагаема) на предишни плащания на откуп. Организациите, които публично са отказали да платят, изпращат обратния сигнал. Stadler Rail например отказа искане за откуп от 12,3 милиона долара от изнудващата група Everest, след като атакуващите откраднаха технически данни чрез доставчик — решение, което намалява стимула същата тази група да приоритизира подобни цели в бъдеще. Правителството на Берлин зае подобна позиция, потвърждавайки, че няма да плати на хакерите, въпреки активен опит за изнудване след проникване в мрежата. Всеки публичен отказ подкопава изчислението на вероятността за плащане, което движи решенията на affiliates.
Аспектът на поверителността: кражбата на данни не чака решение
Тази логика на избор на цели има пряка последица за поверителността, която често се губи в дебатите за плащане на откуп. Много преди жертвата да реши дали да плати, атакуващите обикновено вече са изнесли данни. Съвременните рансъмуер операции все повече разчитат на двойно изнудване — криптират системи, като същевременно крадат чувствителни файлове, които да използват като допълнителен лост. Това означава, че лична информация, финансови записи и вътрешни комуникации могат да бъдат разкрити или продадени независимо от изхода на откупа.
Атаката на групата ShinyHunters срещу колумбийската финансова компания Addi.com илюстрира този риск ясно. Групата пое отговорност за кражбата на 16 милиона финансови записа — мащаб на излагане, който няма нищо общо с това дали Addi.com е била известна или политически значима цел. Това отразява същата основна логика: финансова компания, държаща големи обеми чувствителни данни, представлява високостойностна възможност за изнудване, независимо от разпознаваемостта на марката. За обикновените потребители това означава, че данните ви могат да се окажат изложени на риск просто защото организацията, която ги държи, е изглеждала добра цел за даден affiliate, а не защото е била цел, която някой би очаквал.
Какво означава това за вас
Ако изборът на цели се определя от вероятността за плащане, а не от известността, практическата поука е, че никоя организация, независимо от размера или видимостта си, не може да приеме, че е „твърде малка, за да има значение“ за рансъмуер операторите. По-малките компании, доставчиците на здравни услуги, финансовите платформи и местните държавни агенции често са привлекателни именно защото може да имат по-неразвити защити и по-висок оперативен натиск за бързо възстановяване на достъпа.
За отделните хора това подсилва една позната, но важна реалност: сигурността на личните ви данни зависи в голяма степен от сигурностната позиция на всяка организация, която ги държи, не само на известните. Финансовите институции, по-малките доставчици на услуги и доставчиците във веригата за доставки са все възможни входни точки, както демонстрира инцидентът със Stadler Rail.
Практически изводи
Организациите трябва да третират целостта на backup-ите, планирането на реакция при инциденти и публичната комуникация относно политиката за откуп като инструменти, които пряко намаляват привлекателността им за affiliates, търсещи лесни плащания. Отделните хора трябва да приемат, че всеки услуга, държаща чувствителни лични или финансови данни, може да бъде атакувана, и трябва да използват силни, уникални пароли, да активират многофакторна автентикация където е възможно и да наблюдават акаунтите си за необичайна активност след всяко уведомление за нарушение. Тъй като рансъмуер атаките следват вероятността за плащане, а не известността, бдителността към по-малки, по-малко известни доставчици е също толкова важна, колкото следенето на новините за атаки срещу големи марки. Осъзнаването как се вземат тези решения е един от най-простите начини да изпреварите риска.
