Ransomware se zaměřuje podle pravděpodobnosti platby, ne podle prominence
Po léta byl oblíbený obrázek oběti ransomwaru spojen se známými jmény: nemocniční systém, velká letecká společnost, globální výrobce. Nedávná analýza však přináší jednodušší a užitečnější poznatek: ransomware se zaměřuje podle pravděpodobnosti platby, ne podle prominence. Útočníci, a konkrétně affilianti, kteří provádějí většinu ransomwarových intrůzí, nehoní titulky. Honí výplatu, a to mění to, kdo se ocitne v jejich hledáčku.
Ekonomika za tím je přímočará. Většina moderního ransomwaru funguje na modelu ransomware-as-a-service, kde základní skupina vytváří malware a infrastrukturu, zatímco nezávislí affilianti provádějí samotné vloupání. Tito affilianti dostávají provizi pouze tehdy, když oběť zaplatí. Tento jediný fakt reorganizuje celý proces cílení. Místo otázky „kdo by způsobil největší rozruch“ se affilianti ptají „kdo nejpravděpodobněji zaplatí, a jak rychle“.
Proč pravděpodobnost platby vítězí nad známostí značky
Když je platba jediným zdrojem příjmu, prominence se stává irelevantní, pokud nekoreluje s ochotou nebo schopností platit. Známá značka se silnými zálohami, připraveným plánem reakce na incidenty a veřejným závazkem nikdy nevyjednávat s útočníky je ve skutečnosti špatným cílem, i kdyby její napadení vygenerovalo více mediální pozornosti. Mezitím středně velká společnost se slabší obranou, krytím kybernetického pojištění a obchodním modelem, který nesnese výpadek, se stává mnohem atraktivnější.
Signály, které zvyšují vnímanou pravděpodobnost platby oběti, zahrnují důkazy o dostupných finančních prostředcích, jasný interní proces pro rychlé schválení velkých plateb, závislost na nepřetržitém provozu a historii (veřejnou nebo odvozenou) dřívějších výplat výkupného. Organizace, které veřejně odmítly zaplatit, vysílají opačný signál. Například Stadler Rail odmítl požadavek na výkupné ve výši 12,3 milionu dolarů od vyděračského gangu Everest poté, co útočníci ukradli technická data prostřednictvím dodavatele, což je rozhodnutí, které snižuje motivaci stejné skupiny upřednostňovat podobné cíle v budoucnu. Berlínská státní vláda zaujala podobný postoj a potvrdila, že hackerům nezaplatí i přes aktivní pokus o vydírání po síťovém intrůzi. Každé veřejné odmítnutí oslabuje kalkulaci pravděpodobnosti platby, která řídí rozhodování affiliantů.
Úhel pohledu soukromí: Krádež dat nečeká na rozhodnutí
Tato logika cílení má přímý důsledek pro soukromí, který se v debatách o placení výkupného často ztrácí. Dávno předtím, než se oběť rozhodne, zda zaplatit, útočníci obvykle již data exfiltrovali. Moderní ransomwarové operace se stále více spoléhají na dvojité vydírání, kdy šifrují systémy a zároveň kradou citlivé soubory, které používají jako další páku. To znamená, že osobní údaje, finanční záznamy a interní komunikace mohou být odhaleny nebo prodány bez ohledu na výsledek výkupného.
Útok skupiny ShinyHunters na kolumbijskou finanční službu Addi.com tento risk jasně ilustruje. Skupina se přihlásila k odpovědnosti za krádež 16 milionů finančních záznamů, což je rozsah odhalení, který nemá nic společného s tím, zda Addi.com byl slavný nebo politicky významný cíl. Odráží stejnou základní logiku: finanční služba držící velké objemy citlivých dat představuje vysoce hodnotnou příležitost pro vydírání, nezávisle na známosti značky. Pro běžné uživatele to znamená, že vaše data se mohou ocitnout v ohrožení jednoduše proto, že organizace, která je drží, vypadala pro affilianta jako dobrá sázka, ne proto, že by to byl cíl, který by kdokoli očekával.
Co to znamená pro vás
Pokud je cílení řízeno pravděpodobností platby rather než prominencí, praktickým závěrem je, že žádná organizace, bez ohledu na velikost nebo viditelnost, nemůže předpokládat, že je „příliš malá na to, aby na ní záleželo“ pro ransomwarové operátory. Menší společnosti, poskytovatelé zdravotní péče, finanční platformy a místní vládní agentury jsou často atraktivní právě proto, že mohou mít méně vyspělou obranu a vyšší provozní tlak na rychlé obnovení přístupu.
Pro jednotlivce to posiluje známou, ale důležitou realitu: bezpečnost vašich osobních údajů silně závisí na bezpečnostním postoji každé organizace, která je drží, nejen těch slavných. Finanční instituce, menší poskytovatelé služeb a dodavatelé v dodavatelském řetězci jsou všechny plausibilními vstupními body, jak ukazuje incident Stadler Rail.
Praktická doporučení
Organizace by měly integritu záloh, plánování reakce na incidenty a veřejnou komunikaci o politice výkupného považovat za nástroje, které přímo snižují jejich atraktivitu pro affilianty hledající snadné výplaty. Jednotlivci by měli předpokládat, že jakákoli služba držící citlivé osobní nebo finanční údaje může být cílem, a měli by používat silná, jedinečná hesla, kde je to možné, zapnout vícefaktorové ověřování a sledovat účty na neobvyklou aktivitu po jakémkoli oznámení o úniku dat. Protože ransomware se zaměřuje podle pravděpodobnosti platby rather než podle prominence, zůstat ostražitý u menších, méně známých poskytovatelů je stejně důležité jako sledovat zprávy o útocích na velké značky. Povědomí o tom, jak se tato rozhodnutí dělají, je jedním z nejjednodušších způsobů, jak být o krok napřed před rizikem.
