Katalog více než 50 ransomwarových útoků ukazuje, že se model mění

Nová kompilace příkladů ransomwarových útoků, zahrnující desítky velkých narušení a jejich finanční náklady, předkládá něco, čemu stojí za to věnovat pozornost i za hranicemi holých čísel: mechanika těchto útoků se vyvíjí způsobem, který vystavuje osobní údaje většímu riziku, než kdy dokázalo samotné šifrování.

Klasická verze ransomwaru, často nazývaná krypto-ransomware, funguje přesně tak, jak si ji většina lidí představuje. Škodlivý kód pronikne do sítě a zašifruje soubory pomocí silných algoritmů, obvykle AES-256 k uzamčení samotných dat a RSA-2048 k ochraně šifrovacího klíče. Po dokončení tohoto procesu jsou soubory bez soukromého klíče útočníka prakticky neobnovitelné. Oběti se poté zobrazí výkupné požadující platbu, obvykle v bitcoinech nebo moneru, často doplněné časovačem a hrozbou, že pokud lhůta vyprší, bude klíč zničen.

Tento model vybudoval pověst, kterou má ransomware dnes: zablokovaná nemocnice, paralyzovaná městská správa, výrobce neschopný expedovat zboží. Katalog příkladů však poukazuje na druhou, tišší taktiku, která se prosazuje vedle něj a která se o šifrování vůbec neopírá.

Vydírání krádeží dat nemusí zamknout jediný soubor

Namísto šifrování souborů dnes někteří útočníci jednoduše zkopírují citlivá data ze sítě dříve, než si toho někdo všimne, a poté vyhrožují jejich zveřejněním nebo prodejem, pokud nebude zaplaceno. Na zamrzlé ploše neběží žádný odpočet, žádné IT oddělení závodící s obnovou ze záloh. Pákou není narušení provozu, ale odhalení dat.

Tento rozdíl je zásadní pro každého, kdo přemýšlí o svém vlastním soukromí, nejen pro organizace spravující bezpečnostní rozpočty. Ransomware založený na šifrování je ve své podstatě problém dostupnosti: vaše data stále existují, jen k nim nemáte přístup, dokud nejsou obnovena nebo dokud nezaplatíte výkupné. Vydírání krádeží dat je problém důvěrnosti: informace jsou již pryč, již leží na serveru útočníka a žádné výkupné to nemůže vzít zpět. Dokonce i organizace se solidními zálohami a rychlými plány obnovy nemají skutečnou odpověď na hrozbu postavenou výhradně na odhalení. Skupiny provozující ransomware-as-a-service, tedy typ popsaný v článku o LockBit 5.0 a jeho fungování po Operaci Cronos, se přesně do tohoto dvoucestného přístupu opřely: zašifruj, co můžeš, ukradni, co nemůžeš, a vydírej na obou frontách.

Proč je výše výkupného jen částí příběhu

Mediální pokrytí ransomwarových útoků má tendenci se upínat k samotné částce výkupného a snadno pochopíme proč: konkrétní dolarová suma je čistý titulek. Finanční náklady útoku však často odrážejí pouze náklady na reakci: reakci na incident, výpadky, právní poplatky, regulační pokuty a případné výkupné. Co toto číslo nezachycuje, jsou následné dopady na soukromí lidí, jejichž data byla v onom systému: pacientů, jejichž zdravotní záznamy byly odhaleny, zákazníků, jejichž platební údaje byly zkopírovány, zaměstnanců, jejichž osobní informace seděly v personální databázi, která unikla.

To je ta skutečná implikace pro soukromí ukrytá v těchto katalozích narušení. Společnost může obnovit své systémy, zaplatit pokuty a jít dál. Jednotlivec, jehož data byla odcizena, takto čistou obnovu nedostane. Jejich informace mohou kolovat neomezeně dlouho, jakmile opustí původní síť, a objevovat se v seznamech pro credential stuffing, phishingových kampaních nebo pokusech o krádež identity ještě dlouho poté, co původní útok zmizel ze zpráv.

Co to znamená pro vás

Pokud jste spotřebitel, ponaučením není, že se musíte osobně bránit ransomwaru – to je organizační problém pro společnosti, které vaše data uchovávají. Posun směrem k vydírání krádeží dat však znamená, že oznámení o narušení si zaslouží větší pozornost, než se jim obvykle dostává, a to i tehdy, když firma tvrdí, že nebylo zaplaceno výkupné nebo že systémy nebyly narušeny. „Nic nebylo zašifrováno“ už neznamená „nic nebylo odcizeno“.

Pokud pracujete v IT nebo bezpečnosti, ponaučením z těchto více než 50 příkladů je, že samotná strategie zálohování již nestačí. Plánování obnovy musí počítat s odhalením dat, nikoli jen s výpadky, což znamená šifrovat citlivá data v klidu, omezit, k čemu má přístup jakýkoli kompromitovaný účet, a brát detekci exfiltrace stejně vážně jako samotnou detekci ransomwaru.

Praktické kroky, které stojí za to podniknout

Několik návyků má dalekosáhlý význam bez ohledu na to, na které straně narušení stojíte. Jednotlivci by měli sledovat oznámení o narušeních týkajících se služeb, které používají, zapínat vícefaktorové ověřování všude, kde je k dispozici, a přistupovat s podezřením k nevyžádaným zprávám odkazujícím na detaily účtu, neboť odcizená data často přiživují následné phishingové kampaně. Organizace by měly předpokládat, že jakýkoli úspěšný průnik může zahrnovat krádež dat i bez viditelné výzvy k výkupnému, a budovat plány reakce, které řeší zveřejnění informací a ochranu zákazníků, nejen obnovu systémů.

Vývoj ransomwaru od čistě šifrovací hrozby k širší ekonomice vydírání je připomínkou, že boj se netýká jen udržení systémů v chodu. Jde o to, udržet informace v první řadě soukromé, a to je odpovědnost, která sahá daleko za okamžik, kdy se na obrazovce objeví výzva k výkupnému.