Útoky ransomwaru na střední trh tiše předhánějí titulky
Když se útok ransomwaru objeví ve zprávách, je to téměř vždy známé jméno: nemocniční síť, letecká společnost, provozovatel kasina. Toto zpravodajství vytváří zkreslený obraz o tom, kdo je skutečně terčem. Podle výzkumu citovaného společností Emphasis Tech tvořily středně velké organizace, tedy ty s ročním obratem přibližně 10 milionů až 1 miliardy dolarů, přibližně 73 procent veřejně zveřejněných incidentů ransomwaru a vydírání dat mezi rokem 2023 a první polovinou roku 2026. Megaprolomení, která dominují titulkům, jsou výjimkou, nikoli pravidlem.
Data jsou konkrétnější, když se podíváte na to, jak ransomware figuruje v prolomeních podle velikosti společnosti. Ransomware byl součástí přibližně 88 procent prolomení u malých a středních podniků ve srovnání s pouhými 39 procenty u větších organizací. Velké podniky jsou stále zasaženy, ale zdá se, že útočníci se silně spoléhají na ransomware jako na svůj nástroj volby právě při cílení na menší společnosti s menšími zdroji.
Proč se útočníci přesunuli ke společnostem středního trhu
Logika tohoto posunu není složitá. Velké podniky strávily roky budováním vrstevnaté obrany: specializovaná centra bezpečnostních operací, týmy pro analýzu hrozeb, smluvní služby reakce na incidenty a vyspělou infrastrukturu zálohování. Naproti tomu společnosti středního trhu často fungují s omezeným IT personálem, který je současně vytížen každodenním provozem i bezpečnostními odpovědnostmi. Mnohé stále provozují zastaralé systémy, odkládají cykly záplatování nebo postrádají segmentaci sítě, která by jinak zadržela průnik dříve, než se rozšíří po celém prostředí.
Zároveň středně velké firmy zdaleka nejsou finančně neatraktivními cíli. Společnosti s obratem v desítkách nebo stovkách milionů mohou obvykle absorbovat výkupné ve výši šesti nebo sedmi číslic a mnohé mají pojistky kybernetické bezpečnosti, o nichž útočníci vědí, že je lze využít během vyjednávání. Tato kombinace, skutečná finanční kapacita spojená s poměrně slabší obranou, činí z tohoto segmentu ideální cíl pro operátory ransomwaru, kteří chtějí maximalizovat výplatu při minimalizaci úsilí.
Regulační tlak přidává do tohoto obrazu další vrstvu. Vlády po celém světě zpřísňují vymáhání v oblasti kybernetické bezpečnosti a ochrany dat bez ohledu na velikost společnosti. Nedávný vietnamský Dekret 330 zpřísňující vymáhání kybernetické bezpečnosti je jedním z příkladů toho, jak se administrativní sankce za porušení ochrany dat globálně rozšiřují. Společnosti středního trhu působící přeshraničně nebo zpracovávající zákaznická data mezinárodně již nemohou předpokládat, že regulační kontrola je vyhrazena velkým nadnárodním korporacím.
Co to znamená pro vás
Pokud řídíte nebo spravujete IT pro středně velkou společnost, tato data by měla přerámovat způsob, jakým přemýšlíte o riziku. Předpoklad, že operátoři ransomwaru útočí pouze na organizace se známou značkou nebo obrovskou zákaznickou základnou, už neobstojí. Rozsah obratu vaší organizace, nikoli její známost, může být právě tím, co ji dostane na radar útočníka.
To neznamená, že je na místě panika. Znamená to, že praktická bezpečnostní opatření, která se dříve zdála volitelná, si nyní zaslouží skutečný rozpočet a pozornost. Segmentace sítě je jedním z nejúčinnějších dostupných nástrojů: izolací kritických systémů od běžného síťového provozu se jeden kompromitovaný koncový bod automaticky nestane celofiremní krizí. Vícefaktorové ověřování na všech přístupových bodech pro vzdálený přístup, včetně připojení VPN, uzavírá jednu z nejběžnějších vstupních cest, které útočníci používají k získání počátečního opěrného bodu. Pravidelné, testované zálohy uložené offline nebo v neměnném úložišti zůstávají jedinou nejlepší pojistkou proti požadavku na výkupné, protože společnost, která dokáže obnovit své vlastní systémy, má při vyjednávání mnohem větší páku než ta, která to nedokáže.
Plánování reakce na incidenty je stejně důležité jako prevence. Mnoho společností středního trhu nikdy neprovedlo simulované cvičení toho, co se děje v prvních 24 hodinách po detekci ransomwaru. Vědět předem, kdo rozhoduje o vypnutí systémů, kdo kontaktuje orgány činné v trestním řízení a kdo řídí komunikaci se zákazníky, může v rozhodujícím okamžiku zkrátit časovou osu reakce o kritické hodiny.
Budování praktické obrany s rozpočtem středního trhu
Nepotřebujete bezpečnostní rozpočet velikosti podniku, abyste výrazně snížili riziko. Upřednostnění správy záplat pro systémy čelící internetu, prosazování přístupu s nejmenšími oprávněními, aby zaměstnanci dosáhli pouze na systémy, které skutečně potřebují, a audit nástrojů vzdáleného přístupu, jako jsou VPN a RDP, na zbytečné vystavení, jsou všechny dosažitelné bez obrovských výdajů. Školení zaměstnanců v rozpoznávání phishingu rovněž zůstává nákladově efektivní, protože mnoho incidentů ransomwaru stále začíná jediným kliknutím na odkaz nebo kompromitovanými přihlašovacími údaji, nikoli sofistikovaným zneužitím zranitelnosti dne nula.
Sečteno a podtrženo
Posun ransomwaru směrem ke společnostem středního trhu není dočasným trendem, odráží to, kde útočníci vidí nejlepší návratnost vynaloženého úsilí. Společnosti v rozmezí obratu 10 milionů až 1 miliardy dolarů nyní stojí přímo v hledáčku a data naznačují, že tento vzorec se pouze dále upevňuje. Dobrou zprávou je, že základy dobré kybernetické hygieny, segmentace, vícefaktorové ověřování, testované zálohy a plánování reakce na incidenty, zůstávají vysoce účinné i proti útočníkům s dobrými zdroji. Čekat na prolomení, které přitáhne titulky, aby ospravedlnilo investice do těchto základů, už není pro vedení středního trhu obhajitelnou strategií. Data jasně ukazují, že další velký incident ransomwaru statisticky pravděpodobněji nastane ve společnosti, jako je ta vaše, než u známého jména.
