Oběti ransomwaru, které zaplatí v naději, že tím problém zmizí, jsou často zklamané. Nově zveřejněná globální studie, Zpráva o ransomwaru v éře umělé inteligence, oslovila téměř 1 000 bezpečnostních profesionálů na 12 trzích a zjistila, že zaplacení výkupného zdaleka není zaručeným řešením. Tato zjištění dodávají novou váhu varování, které bezpečnostní výzkumníci opakují již léta: opakované výkupné za ransomware je skutečné a rostoucí riziko, nikoli vzácný okrajový případ.

Co zjistila Zpráva o ransomwaru v éře umělé inteligence

Průzkum vykresluje znepokojivý obraz toho, jak organizace reagují, když je ransomware zasáhne. Více než polovina organizací, které utrpěly útok, konkrétně 54 %, nakonec zaplatila výkupné ve snaze obnovit svá citlivá data. Z těch, kteří zaplatili, se 56 % skutečně znovu dostalo ke svým souborům nebo systémům. Ale znepokojivější číslo je to, co následovalo: více než třetina obětí, tedy 37 %, obdržela druhou výhrůžku vydíráním poté, co již první výkupné zaplatila.

Už jen tato statistika by měla změnit způsob, jakým organizace přemýšlejí o reakci na ransomware. Zaplacení není jednorázová transakce, která incident uzavře. Pro více než třetinu obětí v této studii to byl pouze úvodní krok v delším a nákladnějším cyklu.

Proč zaplacení nezaručuje bezpečnost ani obnovu dat

Stojí za to se u těchto čísel zastavit. Dokonce i mezi organizacemi, které zaplatily, téměř polovina svá data stejně plně neobnovila. A velká část těch, kteří své soubory získali zpět, byla znovu napadena – ať už stejným útočníkem požadujícím více peněz, nebo jinou skupinou, která platbu vnímala jako důkaz, že je oběť ochotna vyjednávat.

Tento vzorec odpovídá i dalším nedávným výzkumům. Průzkum společnosti Proofpoint zveřejněný na vpn.social podobně zjistil, že placení ransomwarovým gangům se často vymstí, přičemž významná část platících obětí čelí novým pokusům o vydírání. Jakmile organizace zaplatí, může se ocitnout na seznamu potvrzených plátců, který koluje mezi zločineckými skupinami, a díky tomu se stává atraktivnějším cílem pro budoucí útoky, nikoli méně atraktivním.

V ransomwarovém vyjednávání také neexistuje žádná vymahatelná smlouva. Útočníci nemají žádný právní ani pověstní motiv dodržet svou část dohody, jakmile peníze dorazí. Dešifrovací klíče mohou být neúplné, chybové nebo nemusí být doručeny vůbec. Data, která byla ukradena a použita jako páka, mohou být stále prodána, zveřejněna nebo zadržena pro druhé kolo vydírání, bez ohledu na to, co bylo slíbeno.

Prevence jako alternativa: zálohy, šifrování a segmentace sítě

Vzhledem k těmto vyhlídkám je odolnější strategií snížit pravděpodobnost, že vůbec někdy budete muset rozhodovat o tom, zda platit. Několik postupů se v praxi opakovaně ukazuje jako účinná obrana:

  • Udržujte offline, testované zálohy. Zálohy, které jsou odpojené od hlavní sítě a pravidelně testované na obnovu, znamenají, že se organizace může zotavit bez vyjednávání s útočníkem.
  • Šifrujte citlivá data v klidu i při přenosu. I když útočníci soubory exfiltrují, silné šifrování omezuje, co s nimi mohou skutečně udělat nebo prodat, a tím snižuje páku stojící za hrozbou úniku dat.
  • Segmentujte sítě. Rozdělení systémů do izolovaných zón omezuje, jak daleko se ransomware může rozšířit, jakmile získá počáteční oporu, a omezuje škody na menší část organizace.
  • Pravidelně aktualizujte a monitorujte. Mnoho ransomwarových průniků stále zneužívá známé, nezalátované zranitelnosti nebo slabé přihlašovací údaje pro vzdálený přístup, takže základní hygiena uzavírá velkou část vstupních bodů.

Žádné z těchto opatření nedělá organizaci imunní vůči útoku, ale společně snižují jak pravděpodobnost úspěšného průniku, tak tlak na zaplacení, pokud k němu dojde.

Sestavení plánu reakce na incident ještě před útokem

Organizace, které si po ransomwarovém incidentu vedou nejlépe, bývají ty, které si svou reakci nacvičily ještě před útokem. To znamená mít zdokumentovaný plán, který určuje, kdo rozhoduje o tom, zda platit, kteří právní a donucovací orgány mají být kontaktovány, jak se řídí komunikace se zaměstnanci a zákazníky a jak se systémy izolují a obnovují.

Provádění cvičení typu tabletop, při kterých si zaměstnanci procházejí simulovaný útočný scénář, pomáhá odhalit mezery v plánu, když není v sázce skutečný tlak. Také to zrychluje skutečnou reakci, když k incidentu dojde, zkracuje okno expozice a snižuje pokušení zaplatit jen proto, že se nezdá být připravená žádná jiná možnost.

Co to znamená pro vás

Pro IT vedoucí a bezpečnostní týmy je tato zpráva připomínkou, že opakované výkupné za ransomware je časté natolik, že s ním je třeba počítat v plánování, a nejde o okrajový nejhorší případ. Považujte platbu výkupného za krajní řešení s reálnou šancí na neúspěch, nikoli za spolehlivou pojistku. Rozpočtujte na prevenci (zálohy, segmentace, monitorování) stejně, jako byste rozpočtovali na jakékoli jiné základní infrastrukturní náklady, protože čísla naznačují, že je to dlouhodobě levnější než opakovaná vyjednávání s útočníky.

Pro jednotlivé uživatele a menší organizace bez vyhrazeného bezpečnostního týmu platí stejné principy v menším měřítku: mějte offline kopii všeho nenahraditelného, používejte šifrování tam, kde je k dispozici, a předem vězte, koho byste kontaktovali, kdyby vám někdo systémy uzamkl.

Klíčové poznatky

  • 54 % oslovených organizací, které utrpěly ransomwarový útok, zaplatilo výkupné, ale pouze 56 % plátců se plně znovu dostalo ke svým datům.
  • 37 % organizací, které zaplatily, bylo zasaženo druhou výhrůžkou vydíráním, což ukazuje, že zaplacení riziko neukončí.
  • Offline zálohy, šifrování a segmentace sítě snižují jak pravděpodobnost úspěšného útoku, tak tlak na zaplacení.
  • Otestovaný plán reakce na incident, vytvořený před útokem, zkracuje dobu obnovy a snižuje závislost na platbách výkupného.
  • Čtenáři si mohou prostudovat zjištění průzkumu společnosti Proofpoint pro další podpůrná data o tom, jak často platby výkupného nevyřeší útok.