Ransomware е нараснал с близо 50%, а малките бизнеси поемат по-голямата част от щетите. Това, което прави тенденцията по-трудна за управление, е промяна в тактиките. Случаите на ransomware кражба на данни, изнудване и малък бизнес все по-често включват атакуващи, които не заключват нито един файл. Те открадват данните, след което заплашват да ги публикуват или продадат, освен ако не получат плащане.

Изходната статия цитира NordLayer, описвайки тази промяна: все повече групи за изнудване пропускат криптирането и просто крадат данни, след което заплашват жертвата. Пълният текст, с който разполагаме, е кратък, така че тази публикация се придържа към тези точки и към широко разбираната практика за сигурност, вместо да добавя цифри, които не можем да проверим.

Защо резервните копия вече не спират изнудването

Класическата ransomware атака заключваше файловете ви и ви продаваше ключа. Добрите резервни копия бяха отговорът: възстановете системите и продължете. Този съвет все още е важен, но решава само половината от съвременния проблем.

Когато атакуващите крадат данни вместо да ги криптират, от ваша страна нищо не е счупено. Системите ви може да работят нормално. Лостът идва от това, което престъпниците сега държат: записи на клиенти, информация за служители, договори, финансови данни. Възстановяването от резервно копие не прави нищо, за да извади това копие от ръцете им.

Ето защо бележката за откуп в тези случаи е изградена около разкриването, а не около престоя. Заплахата е, че вашите клиенти, партньори или регулатори ще научат какво е било откраднато. Резервните копия защитават наличността. Те не защитават поверителността.

Защо малките бизнеси понасят основната тежест

Статията описва малките бизнеси като поемащи по-голямата част от увеличението. Въпреки че не можем независимо да разбием причините от изходния текст, няколко общи фактора са добре признати в средите за сигурност:

  • По-малко специализиран персонал по сигурност. Много малки фирми разчитат на един ИТ специалист с общ профил или на външен доставчик.
  • Плоски мрежи и споделен достъп. В по-малки среди един компрометиран акаунт често може да достигне до много данни.
  • Натиск да се плати бързо. Фабрика, която не може да работи, или клиника, която се страхува от изтичане, може да почувства, че не може да си позволи дълго възстановяване.

Изнудването чрез кражба на данни също намалява усилията на атакуващите. Пропускането на криптирането означава по-малко стъпки и по-малко шум, което може да направи проникването по-трудно за забелязване преди да пристигне искането.

Защити, които ограничават какво могат да откраднат крадците

Ако целта е да се намали какво може да бъде откраднато, отбранителният фокус се измества от самото възстановяване към контрол върху данните. Практическите стъпки включват:

  1. Знайте какво съхранявате. Направете инвентаризация на клиентски, служителски и финансови данни и изтрийте това, което вече не ви е нужно. Данни, които не държите, не могат да изтекат.
  2. Ограничете достъпа. Дайте на всеки човек достъп само до това, което изисква работата му, и премахвайте акаунти, когато хората напускат.
  3. Използвайте многофакторно удостоверяване. Откраднатите пароли са чест начин за влизане, а вторият фактор повишава летвата.
  4. Сегментирайте мрежата си. Дръжте чувствителните системи отделно, така че едно нарушение да не изложи всичко.
  5. Криптирайте чувствителните данни в покой. Откраднатите файлове, които са правилно криптирани, са много по-малко полезни за крадеца.
  6. Наблюдавайте за необичайни трансфери. Голямо или странно изходящо движение на данни може да е ранен предупредителен знак.
  7. Все пак поддържайте тествани офлайн резервни копия. Атаките с криптиране не са изчезнали и групите могат да комбинират и двата метода.
  8. Подгответе план за инциденти. Решете предварително на кого да се обадите, включително правен съветник и вашия ИТ доставчик, преди да удари натискът.

За да видите как голяма ransomware операция преминава от влизане към изнудване, анализът на LockBit 3.0, обхващащ 2 000 жертви в 95 държави, картографира цялата верига на атаката и показва къде защитниците могат да я прекъснат.

Къде се вписва VPN и къде не

VPN може да бъде полезна част от настройката на малък бизнес, но не е лек за ransomware. Основната му стойност е защитата на трафика между отдалечени работници и фирмени ресурси, особено в публични или ненадеждни мрежи, и ограничаването на това колко изложени са вътрешните услуги към отворения интернет.

Това, което VPN не прави, е да спре фишинг, да поправи непатчнат софтуер или да попречи на служител с валидни идентификационни данни да бъде подмамен да ги предаде. Ако атакуващ влезе с откраднати идентификационни данни, VPN може дори да му даде удобен път навътре. Той също не криптира файловете, стоящи на вашите сървъри, нито следи за данни, напускащи мрежата ви.

Мислете за VPN като за един слой сред няколко. Той работи най-добре заедно със силно удостоверяване, пачове, контроли за достъп и наблюдение.

Какво означава това за вас

Ако ръководите малък бизнес или работите в такъв, приемете, че наличието на резервни копия вече не е достатъчно. Въпросът, който трябва да зададете, не е само „Можем ли да се възстановим?“, но и „Какво би могъл някой да открадне и какво би се случило, ако го публикува?“

Малките екипи не се нуждаят от корпоративни бюджети, за да подобрят позицията си. Намаляването на количеството чувствителни данни, които пазите, затягането на кой може да достигне до тях и включването на многофакторно удостоверяване адресират точно лоста, който групите за изнудване дърпат. Отнасяйте се към всеки VPN като към поддържащ инструмент, а не като към самия план.

Ключови изводи

  • Ransomware е нараснал с близо 50%, като малките бизнеси са ударени най-силно.
  • Все повече групи крадат данни, без да ги криптират, така че само резервните копия не могат да разрешат искане за изнудване.
  • Ограничете излагането, като минимизирате съхраняваните данни, ограничите достъпа и криптирате това, което остава.
  • Използвайте VPN като един слой от защитата, а не като заместител на останалото.

Тази седмица направете одит на това какви данни съхранява вашият бизнес и кой може да има достъп до тях. След това прочетете как работи една голяма група в нашия разбор на LockBit 3.0 ransomware, за да видите как тези атаки се развиват на практика и къде вашите защити срещу ransomware кражба на данни, изнудване и малък бизнес трябва да бъдат най-силни.