Nová data potvrzují, že platby ransomwaru nepřinášejí trvalou bezpečnost
Čerstvé zprávy, na které upozornil The Register a o nichž informoval i SC Media, doplňují rostoucí soubor důkazů, že zaplacení výkupného za ransomware nezaručuje spolehlivou ochranu před budoucími útoky. Organizace, které zaplatí, aby obnovily data nebo zastavily vydírání, jsou často terčem dalších útoků – někdy stejnou zločineckou skupinou, někdy úplně jinou, která se dozvěděla, že oběť je ochotná platit. Tento vzorec se objevuje i přes koordinované zásahy orgánů činných v trestním řízení, jako je operace Cronos, které se snaží rozložit velké ransomwarové operace zevnitř.
Závěr je jednoznačný, i když pro mnoho organizací nepříjemný: platby ransomwaru a opakované útoky spolu úzce souvisejí, ne proto, že by platba zaručovala bezpečí, ale proto, že útočníkům často signalizuje, že cíl je ziskový a nepřipravený.
Proč placení vytváří falešný pocit bezpečí
Když je firma uzamčena ze svých systémů nebo jí hrozí únik dat na veřejnost, může se zaplacení výkupného jevit jako nejrychlejší cesta zpět k běžnému provozu. Nová data však potvrzují to, co bezpečnostní výzkumníci tvrdí již roky: platba je transakce, nikoli záruka. Ransomwarové gangy jsou zločinecké podniky a neexistuje žádná vymahatelná dohoda, že data budou smazána, že dešifrovací klíče budou skutečně fungovat nebo že stejné zranitelnosti nebudou znovu zneužity.
Organizace, které platí, tak často činí proto, že nemají řádné zálohy, plány reakce na incidenty nebo interní odborné kapacity k rychlé obnově systémů. Tyto základní slabiny obvykle přetrvávají i po zaplacení výkupného, což znamená, že dveře, kterými útočníci poprvé pronikli, zůstávají často stále otevřené. Platba řeší bezprostřední krizi, nikoli její hlavní příčinu.
Právě proto průzkum společnosti Proofpoint zjistil, že placení ransomwarovým gangům se často vymstí mnohem častěji, než oběti očekávají. Průzkum podložil varování konkrétními čísly a ukázal, že významný podíl organizací, které zaplatily, přesto zažil ztrátu dat, další pokusy o vydírání nebo opakované úniky.
Jak ransomwarové gangy identifikují a znovu cílí na ty, kdo již zaplatili
Ransomwarové operace stále častěji fungují jako podniky – s přidruženými sítěmi, zákaznickou podporou pro oběti a sdílenými informacemi o tom, na které cíle se vyplatí útočit. Jakmile organizace zaplatí, může se tato informace šířit mezi zločineckými skupinami, ať už přímým sdílením dat, prodejem přístupu do sítě nebo prostou reputací na undergroundových fórech.
Oběť, která zaplatí rychle a bez většího odporu, se stává známou veličinou: měkkým cílem s prokázanou ochotou odevzdat peníze. I když zásahy orgánů činných v trestním řízení, jako je operace Cronos, úspěšně naruší konkrétní ransomwarovou infrastrukturu, základní ekosystém zprostředkovatelů přístupu, ukradené přihlašovací údaje a neopravené zranitelnosti, které vedly k původnímu průniku, často zůstávají k dispozici dalším útočníkům. Rozbití jednoho gangu nemusí nutně ochránit předchozí oběť před tím, aby jiný gang nezneužil stejné slabiny.
Praktická obrana: zálohy, segmentace a posílení VPN
Nejjasnějším poučením z těchto dat je, že prevence a odolnost jsou důležitější než vyjednávání. Několik praktických kroků přináší měřitelný rozdíl:
- Udržujte offline, testované zálohy. Zálohy, které jsou odpojené od hlavní sítě a pravidelně testované na obnovu, jsou nejúčinnějším způsobem, jak se vyhnout nutnosti platit.
- Segmentujte sítě. Omezení toho, kam až se může útočník po proniknutí dostat, snižuje rozsah dopadu jakéhokoli kompromitovaného účtu nebo zařízení.
- Posilte vzdálený přístup. VPN a nástroje pro vzdálenou plochu jsou častými vstupními body pro ransomware. Vynucování vícefaktorového ověřování, včasné záplatování softwaru VPN a uzavření nepoužívaných bodů vzdáleného přístupu odstraňuje snadnou oporu pro útočníky.
- Vytvořte plán reakce na incidenty ještě před útokem. Vědět, komu zavolat, jak izolovat postižené systémy a jak komunikovat se zainteresovanými stranami, snižuje tlak na zaplacení jen proto, aby problém rychle zmizel.
Co to znamená pro vás
Ať už spravujete IT pro malou firmu, nebo jen pečujete o vlastní zařízení, poselství těchto dat je stejné: nepředpokládejte, že platba je záchrannou sítí. Pokud je vaše organizace někdy konfrontována s výkupným za ransomware, berte incident jako signál, že existují bezpečnostní mezery, a ne jako vyjednávání, které je třeba vyřešit a zapomenout. Organizace, které jsou nejlépe připraveny k rychlé obnově a k tomu, aby se nestaly opakovanou obětí, jsou ty, které investovaly do záloh, monitorování sítě a řízení přístupu ještě před útokem, místo aby po něm horečně reagovaly.
Klíčové poznatky
- Nová data ukazují, že platby ransomwaru a opakované útoky jdou často ruku v ruce, což podkopává domněnku, že zaplacení hrozbu vyřeší.
- Zásahy orgánů činných v trestním řízení proti konkrétním gangům neodstraňují širší ekosystém zranitelností, které vedly k původnímu útoku.
- Offline zálohy, segmentace sítě a posílený vzdálený přístup jsou spolehlivější obranou než jakékoli vyjednávání o výkupném.
- Organizace by měly vytvořit plány reakce na incidenty nyní, nikoli se rozhodovat, jak reagovat, až probíhá aktivní útok.
Ransomware nezmizí, ale rozhodnutí zaplatit by nemělo být považováno za rychlou nápravu. Upřednostnění prevence, odolných záloh a bezpečného vzdáleného přístupu zůstává nejúčinnějším způsobem, jak udržet vaše data i vaši organizaci mimo hledáček útočníků.
