Společnost zabývající se obnovou po ransomwaru slibuje sofistikovanou technologii, která dokáže zachránit vaše zašifrované soubory bez placení zločincům. Zní to téměř jako schopnosti na úrovni Jediů. Podle nedávné zprávy Security Boulevard federální státní zástupci tvrdí, že tajnou zbraní MonsterCloud nebyla vůbec pokročilá dešifrovací technologie. Tento případ je užitečným podnětem pro každého, kdo přemýšlel, jak odlišit legitimní společnost pro obnovu po ransomwaru od té, která slibuje příliš.

Poznámka ke zdrojům: zpráva, kterou jsme zkoumali, je stručná a níže uvedené podrobnosti se omezují na to, co uvádí. Jde o obvinění, nikoli o zjištění viny. Nemáme k dispozici soud, datum podání ani číslo případu ze zdrojového materiálu, takže čtenáři, kteří chtějí primární záznam, by měli přímo nahlédnout do původního článku Security Boulevard a federálního soudního spisu.

Co státní zástupci tvrdí, že MonsterCloud ve skutečnosti dělal

Článek Security Boulevard s názvem „These Aren't the Decryption Keys You're Looking For“ uvádí, že federální státní zástupci tvrdí, že tajnou zbraní MonsterCloud nebyla pokročilá dešifrovací technologie. Společnost se prezentovala jako schopná obnovit zašifrované soubory, aniž by oběti platily útočníkům.

Výňatek ze zdroje, který máme k dispozici, je přerušen dříve, než vysvětluje, co podle státních zástupců společnost místo toho dělala, takže nebudeme spekulovat o mechanismu. Co zpráva prokazuje, je mezera, na kterou státní zástupci poukazují: na jedné straně marketingově prezentovaná schopnost a na druhé straně obvinění, že skutečná metoda byla něčím jiným.

MonsterCloud má právo tato tvrzení zpochybnit a čtenáři by měli případ považovat za nevyřešený, dokud soudy nerozhodnou jinak.

Proč je těžké ověřit tvrzení o obnově „bez výkupného“

Oběti ransomwaru jen zřídka mají možnost ověřit technická tvrzení dodavatele. Obvykle jsou uzamčeny mimo kritické systémy, pod časovým tlakem a jednají s lidmi, které nikdy nepotkaly. Tato kombinace činí marketingový jazyk velmi přesvědčivým.

Několik věcí ztěžuje ověření:

  • Dešifrování je neprůhledné. Pokud se soubory vrátí, oběť obvykle nedokáže říci jak. Dodavatel může popsat proprietární metodu a zákazník ji nemá jak prozkoumat.
  • Výsledky vypadají zvenčí stejně. Obnovená data vypadají stejně, ať už pocházejí z technického řešení, obnovené zálohy nebo jiné cesty.
  • Urgence potlačuje kontrolu. Výpadek stojí peníze každou hodinu, takže kladení podrobných otázek se může zdát jako luxus.
  • Tajemství je zabudováno do nabídky. „Proprietární“ technologie je rozumně znějícím důvodem nic nevysvětlovat.

Nic z toho neznamená, že každá firma na obnovu je podezřelá. Znamená to, že tvrzení „dokážeme dostat vaše soubory zpět bez placení“ si zaslouží stejnou skepsi jako útočníkův vlastní slib, že předá fungující klíč.

Jak prověřit dodavatele obnovy po ransomwaru nebo reakce na incidenty

Nejlepší čas na hodnocení dodavatele je předtím, než ho potřebujete. Několik praktických kontrol:

  1. Zeptejte se, jak přesně obnova funguje. Důvěryhodná firma dokáže vysvětlit svůj přístup srozumitelně, včetně toho, kdy dešifrování není možné.
  2. Získejte rozsah písemně. Smlouva by měla uvádět, co firma udělá, co neudělá a zda bude někdy komunikovat s útočníky nebo jim platit vaším jménem.
  3. Vyžadujte zveřejnění jakékoli platby. Pokud třetí strana zajišťuje vyjednávání nebo platbu, měli byste o tom vědět vy, váš právní zástupce i pojišťovna.
  4. Zkontrolujte reference a historii. Požádejte o zákazníky, které můžete kontaktovat, a hledejte nezávislé pokrytí nebo právní historii.
  5. Dejte si pozor na záruky. Nikdo nemůže čestně zaručit obnovu každého souboru.
  6. Zapojte právního zástupce a pojišťovnu včas. Mnoho pojistek a právních povinností určuje, koho můžete najmout a jak se platby zpracovávají.

Co to znamená pro vás

Pokud vedete firmu, spravujete IT nebo si prostě uchováváte důležitá data ve svých zařízeních, tento případ zdůrazňuje druhou vrstvu rizika. První je útočník. Druhou je stresující, uspěchané rozhodnutí o tom, komu poté důvěřovat.

Pro jednotlivce a malé organizace je ponaučením považovat dodavatele obnovy za vysoce důvěryhodného dodavatele a podle toho uplatnit náležitou péči. Pro větší týmy je to připomínkou předem vybrat a uzavřít smlouvu s poskytovatelem reakce na incidenty, aby nikdo nehledal „pomoc s ransomwarem“ uprostřed krize.

Co to znamená pro platby výkupného a obranu

Širším ponaučením je, že neexistuje zkratka kolem přípravy. Offline, otestované zálohy zůstávají zásadní, ale nejsou celým příběhem. Jak vysvětlujeme v našem pohledu na dvojité vydírání ransomwarem a proč zálohy nestačí, moderní útočníci také kradou data a hrozí jejich zveřejněním, takže obnovení souborů incident neukončí.

Právě proto jsou rozhodnutí učiněná pod tlakem riskantní. Když běží hodiny, sebevědomý slib bezbolestného řešení je lákavý. Písemný plán, odsouhlasený předem, odstraňuje velkou část tohoto tlaku.

Klíčové poznatky

  • K tvrzením o obnově bez výkupného přistupujte se zdravou skepsí a ptejte se, jak metoda funguje.
  • Pamatujte, že údajné jednání MonsterCloud je neprokázané; obvinění pocházejí od federálních státních zástupců a společnost je může zpochybnit.
  • Prověřte jakoukoli společnost pro obnovu po ransomwaru předem, písemně a s právním a pojišťovacím vstupem.
  • Uchovávejte otestované, offline zálohy a počítejte s krádeží dat i se šifrováním, jak je popsáno v našem průvodci dvojitým vydíráním.
  • Sestavte plán reakce na incidenty a vyberte dodavatele před útokem, ne během něj.

Až příště narazíte na smělé sliby společnosti pro obnovu po ransomwaru, nejprve si vyžádejte podrobnosti. Několik hodin přípravy nyní vám může ušetřit mnohem dražší rozhodnutí později.