Platba výkupného ransomwarovému gangu nikdy nezaručovala bezpečí, ale nový výzkum přináší tvrdá čísla o tom, jak často tento hazard selhává. Podle nedávných zjištění 58 % britských organizací zasažených ransomwarem zaplatilo požadované výkupné a 22 % těchto plátců bylo zasaženo dalším pokusem o vydírání. Zpráva pro IT týmy i pro každého, jehož osobní údaje procházejí firemními sítěmi, zní: stará hra „zaplať a jdi dál“ už nefunguje.

Nová realita: Platba útok neukončí

Ransomware dříve sledoval poměrně předvídatelný scénář: útočníci zašifrují vaše soubory, vy zaplatíte, dostanete dešifrovací klíč a incident je uzavřen. Tento scénář byl přepsán. Posun k dvojitému vydírání, kdy útočníci ukradnou data před jejich zašifrováním a vyhrožují jejich zveřejněním bez ohledu na platbu, znamená, že transakce s výkupným nic nevyřeší. Údaj o 22 % opakovaného vydírání organizací, které již zaplatily, potvrzuje to, před čím řada bezpečnostních výzkumníků léta varovala: jakmile se vaše data dostanou ven, nemáte žádnou skutečnou kontrolu nad tím, co se s nimi stane dál. Zločinecká skupina, která jednou dostala zaplaceno, má veškerou motivaci se vrátit, ať už jde o stejného aktéra nebo jiného, který pracuje s prodaným přístupem.

Pro administrátory Windows to konkrétně mění přístup k reakci na incidenty. Obnova ze zálohy byla dříve považována za alternativu k platbě. Nyní je třeba ji brát jako základní očekávání, protože platba spolehlivě nezastaví únik dat na straně krádeže informací. Otestované offline zálohy, silné bezpečnostní kontroly identit a zdokumentovaný plán obnovy jsou tím, co ve skutečnosti přeruší tento cyklus, nikoli bankovní převod do anonymní peněženky.

Umělá inteligence výrazně posiluje počáteční kompromitaci

Dalším velkým tématem tohoto výzkumu je rostoucí role umělé inteligence v počátečních fázích útoku. Prvotní kompromitace, okamžik, kdy útočníci poprvé získají oporu v síti, je právě tou oblastí, kde mají nástroje AI údajně největší dopad. Rychlejší průzkum, přesvědčivější phishingové návnady a rychlejší identifikace zneužitelných slabin zkracují okno, které mají obránci na to, aby si všimli, že něco není v pořádku, ještě než dojde ke škodám.

To je důležité, protože většina obrany proti ransomwaru je stále postavena na předpokladu, že útočníci potřebují čas, aby se sítí pohybovali, než způsobí vážné škody. Pokud AI tento časový rámec zkracuje, organizace spoléhající pouze na pravidelné cykly záplatování a manuální monitorování jsou stále zranitelnější. To jen zdůrazňuje, proč se bezpečnost identity, tedy věci jako vícefaktorové ověřování, správa privilegovaného přístupu a rychlá detekce anomálií, stala stejně důležitou jako ochrana koncových bodů.

Proč je krádež dat tím skutečným příběhem o soukromí

Zatímco zašifrované soubory poutají nejvíce pozornosti médií, model dvojitého vydírání staví do centra pozornosti něco, co je pro běžné lidi mnohem důležitější: samotná data. Každý ransomware incident, při němž dojde k odcizení personálních záznamů, zákaznických databází nebo souborů zaměstnanců, je ve své podstatě incidentem v oblasti ochrany soukromí. Vezměme si, jak únik dat z HR systému Statistics South Africa odhalil osobní údaje zaměstnanců – případ ilustrující, jak se interní systémy obsahující citlivé osobní informace mohou stát skutečným cílem, nikoli jen vedlejší škodou rozsáhlejšího útoku. Když ransomwarové skupiny takováto data exfiltrují ještě před uzamčením systémů, platba výkupného nijak nezmění skutečnost, že jména, platy, adresy nebo zdravotní údaje již možná leží na kriminálním serveru nebo jsou dokonce na prodej.

To je aspekt, který v čistě technickém zpravodajství o ransomwaru často chybí: druhý pokus o vydírání není jen firemní bolest hlavy, je to druhá vlna úniku pro jednotlivce, jejichž data byla ukradena na prvním místě. Zaměstnanci, zákazníci a pacienti málokdy mají možnost rozhodnout, zda jejich organizace zaplatí, přesto nesou trvalé riziko krádeže identity, cíleného phishingu nebo podvodů ještě dlouho poté, co mediální pozornost opadne.

Co to znamená pro vás

Pokud pracujete v IT nebo bezpečnosti, tato data jsou jasným signálem, abyste přestali brát platbu výkupného jako vyřešení situace a začali ji vnímat jako krajní nouzový plán. Plány obnovy, neměnné zálohy a obrana zaměřená na identity si zaslouží větší rozpočet a čas na testování, než obvykle dostávají. Pokud jste zaměstnancem nebo zákazníkem organizace, která zveřejnila ransomware incident, předpokládejte, že vaše data mohla být zkopírována, i když vám řeknou, že systémy byly „obnoveny“. Sledujte své účty, dávejte pozor na phishingové pokusy odkazující na daný únik a zvažte monitorování úvěrů, pokud šlo o citlivé osobní nebo finanční údaje.

Konkrétní kroky, které můžete podniknout

Organizace by měly pravidelně kontrolovat integritu záloh a ověřovat, že zálohy jsou skutečně izolované od produkční sítě. Vícefaktorové ověřování a princip nejnižších oprávnění by měly být nepřekročitelným pravidlem napříč všemi systémy, nejen těmi kritickými. Plány reakce na incidenty musí explicitně zahrnovat scénář dvojitého vydírání, včetně právních a komunikačních kroků pro případ, že se odcizená data objeví veřejně. Jednotlivci, kterých se jakékoli zveřejnění ransomwarového útoku týká, by si měli změnit hesla, zapnout vícefaktorové ověřování tam, kde je to možné, a zůstat ve střehu vůči následným podvodům. Z dat je zřejmé, že druhé vydírání v rámci ransomwaru už není vzácným okrajovým případem, ale stává se standardní součástí životního cyklu útoku a jedinou skutečnou obranou je příprava.