Co ukazují nová data o opakovaném ransomwarovém vydírání

Nové údaje, o kterých informoval Connor Jones z DataBreaches.Net, potvrzují to, co bezpečnostní výzkumníci předpokládali už léta: zaplacení ransomwarovému gangu neznamená konec utrpení, často jen označuje začátek druhého kola. Podle údajů z průzkumu citovaných v reportu se 58 procent zasažených britských organizací v loňském roce rozhodlo zaplatit požadované výkupné. Z těch, které zaplatily, bylo 22 procent zasaženo znovu stejným nebo jiným zločineckým uskupením požadujícím druhou platbu.

To znamená, že zhruba každá pátá organizace, která učinila obtížné rozhodnutí zaplatit, za své peníze nezískala nic trvalého. Vyděračský cyklus se jednoduše resetoval, někdy během několika týdnů. Tento vzorec opakovaných ransomwarových plateb se stává určujícím rysem současné hrozební krajiny a nutí bezpečnostní týmy a vedoucí pracovníky přehodnotit celou úvahu o tom, zda je placení vůbec racionální odpovědí.

Proč jednorázové zaplacení vybízí k druhému útoku

Logika opakovaného vydírání je z pohledu zločinců přímočará. Jakmile organizace prokáže, že je ochotna zaplatit, stává se označeným cílem. Ransomwaroví operátoři si vedou záznamy o tom, které oběti se podvolily, jak rychle zaplatily a kolik byly ochotny předat. Tyto informace často kolují mezi přidruženými sítěmi a někdy jsou prodávány nebo sdíleny mezi zločineckými skupinami fungujícími na modelu ransomware-as-a-service.

Oběť, která jednou zaplatí 500 000 dolarů, účinně signalizuje, že má jak finanční rezervy, tak toleranci k riziku, aby zaplatila znovu. Útočníci vědí, že druhý průnik, i méně sofistikovaný, má dobrou šanci na úspěch, pokud základní zranitelnosti, které umožnily první průlom, nebyly nikdy plně odstraněny. V mnoha případech dvojitého a trojitého vydírání nejsou ukradená data po zaplacení dokonce ani smazána, navzdory slibům o opaku, což ponechává otevřené dveře pro následný požadavek postavený na hrozbě zveřejnění těchto stejných ukradených informací.

Právě proto donucovací orgány, včetně FBI, soustavně nedoporučují placení výkupného. Platba nezaručuje obnovu dat, nezaručuje smazání ukradených souborů a, jak ukazují tato nová data, nezaručuje, že útočníci zůstanou pryč.

Proaktivní obrany, které snižují riziko ransomwaru

Pokud placení problém spolehlivě neřeší, udržitelnější cestou je snížit pravděpodobnost úspěšného průniku hned na začátku. Několik obranných vrstev se v zjištěních z reakcí na incidenty soustavně ukazuje jako rozdíl mezi zadrženým incidentem a katastrofou.

Segmentace sítě omezuje, jak daleko se může útočník dostat poté, co získá počáteční oporu. Namísto jedné ploché sítě, kde jediné kompromitované oprávnění otevírá přístup ke všemu, segmentovaná prostředí nutí útočníky bojovat o každý další kousek a dávají obráncům čas na detekci a reakci.

Principy zero-trust přístupu předpokládají, že žádný uživatel ani zařízení nejsou automaticky důvěryhodní, a to ani uvnitř firemního perimetru. Každý požadavek na přístup je ověřován, což výrazně ztěžuje, aby samotné ukradené přihlašovací údaje odemkly kritické systémy.

Spolehlivé, testované a offline zálohy zůstávají jednou z nejúčinnějších dostupných obran proti ransomwaru. Zašifrované soubory přestávají být pákou, když organizace může obnovit provoz z čistých záloh, aniž by s kýmkoli vyjednávala. Klíčové slovo je testované: zálohy, které nebyly ověřeny skutečnými cvičeními obnovy, často selžou přesně tehdy, když jsou nejvíce potřeba.

Vícefaktorové ověřování, včasné záplatování systémů vystavených do internetu a nepřetržité monitorování neobvyklého laterálního pohybu doplňují základ, který odděluje organizace, jež se rychle zotaví, od těch, které nakonec čelí druhému vyděračskému požadavku.

Co by organizace měly dělat místo placení

Když k ransomwarovému incidentu dojde, instinkt rychle zaplatit a nechat problém zmizet je pochopitelný, zejména pod tlakem zákazníků, regulátorů nebo správní rady požadující rychlé řešení. Ale data o opakovaném vydírání jasně ukazují, že platba není spolehlivou výstupní strategií. Organizacím lépe poslouží, když zapojí donucovací orgány včas, najmou profesionály na reakci na incidenty, kteří dokážou posoudit skutečný rozsah úniku dat, a budou transparentní vůči dotčeným zainteresovaným stranám, místo aby předpokládaly, že tichá platba problém vyřeší.

Co to znamená pro vás

Ať už řídíte IT pro malou firmu, nebo dohlížíte na bezpečnostní politiku ve větší organizaci, tato data jsou jasným signálem k přerozdělení priorit. Peníze vyčleněné na rezervní fondy pro výkupné je mnohem lépe vynaloženo na segmentační projekty, zavádění zero-trust a zálohovací infrastrukturu, která je pravidelně testována. Kybernetické pojistky a smluvní zajištění reakce na incidenty by měly být rovněž prověřeny, aby byl zajištěn důraz na prevenci a schopnost obnovy, nikoli jen na pokrytí výplaty.

Pro jednotlivce je ponaučení v menším měřítku obdobné: silná, jedinečná hesla, vícefaktorové ověřování a pravidelné zálohování osobních a rodinných zařízení snižují pravděpodobnost, že se jediná ransomwarová infekce stane opakovanou noční můrou.

Realizovatelné závěry

  • Berte platbu výkupného jako poslední možnost, nikoli jako plán první reakce; data ukazují, že často selhává při ukončení hrozby.
  • Investujte do segmentace sítě, aby jediný kompromitovaný účet nemohl odhalit celé prostředí.
  • Osvojte si principy zero-trust pro interní i vzdálený přístup, ověřujte každý požadavek místo spoléhání se pouze na umístění v síti.
  • Udržujte offline, pravidelně testované zálohy, aby obnova nezávisela na vyjednávání se zločinci.
  • Vytvořte plán reakce na incidenty nyní, ještě před útokem, aby rozhodnutí nebyla činěna pod panikou a tlakem.

Nárůst opakovaných ransomwarových plateb je silným argumentem pro přesun zdrojů od reaktivního vyjednávání k proaktivní obraně. Organizace, které tento posun provedou nyní, budou v mnohem lepší pozici než ty, které stále doufají, že jediná platba problém vyřeší.