Proč se ransomwarové útoky nyní soustředí na krádež dat, nikoli na šifrování

Po léta byla standardní taktika ransomwaru jednoduchá: proniknout dovnitř, zašifrovat soubory, požadovat platbu za dešifrovací klíč. Odpovědí byly zálohy. Obnovte své systémy, ignorujte výkupné a pokračujte dál. Tato taktika je dnes již převážně zastaralá.

Dnešní ransomwarové skupiny se přizpůsobily skutečnosti, že mnoho organizací se ze šifrování bez problémů zotaví. Proto změnily způsob nátlaku. Než cokoli uzamknou, útočníci nyní v tichosti zkopírují citlivé soubory, finanční záznamy, data zaměstnanců a informace o klientech mimo síť. Šifrování se stalo téměř druhořadým, někdy je zcela vynecháno. Skutečnou hrozbou je veřejný únikový web, kde jsou odcizená data zveřejněna, pokud není zaplaceno. Právě tuto hrozbu ransomwarového vydírání daty bezpečnostní výzkumníci bedlivě sledují a mění to, co „být připraven“ pro organizace jakékoli velikosti skutečně znamená.

Tento vzorec není izolovaný na jeden region nebo odvětví. Zpravodajství o ransomwarových incidentech v Indii například zjistilo, že většina útoků nyní zahrnuje krádež dat spíše než čisté šifrování, podle analýzy ransomwarové aktivity v zemi od společnosti Proofpoint. Stejná dynamika se odehrává i blíže domovu, včetně metropolitní oblasti St. Louis.

Co je známo o incidentech v oblasti St. Louis

Podle zpráv společnosti CHR Solutions, IT a kyberbezpečnostní firmy se sídlem v St. Louis, zasáhl ransomware během několika posledních měsíců školské systémy, městské sítě a místní podniky v metropolitní oblasti. Firma, která přímo spolupracuje s regionálními organizacemi na odstraňování bezpečnostních mezer, to prezentuje jako lokální a opakující se problém, nikoli jen vzdálený novinový titulek. Konkrétní podrobnosti o jednotlivých incidentech jsou v dostupných zprávách omezené, ale popsaný vzorec odráží to, co se děje na celostátní úrovni: sítě veřejného sektoru a malé až střední podniky jsou častými cíli, často proto, že mají méně specializovaných bezpečnostních zdrojů než velké podniky.

Školní obvody a obecní sítě jsou obzvláště atraktivními cíli pro útoky založené na vydírání. Drží velké objemy osobních údajů, včetně záznamů o studentech, zaměstnancích a obyvatelích, a často čelí veřejnému tlaku, aby zabránily narušení provozu, což může zvýšit pravděpodobnost, že budou vyjednávat. Když útočníci vědí, že nátlak nespočívá jen v otázce „dokážete fungovat bez svých souborů?“, ale „můžete si dovolit, aby tato data byla zveřejněna?“, tlak na zaplacení se výrazně zvyšuje.

Jak dvojité vydírání mění kalkulaci pro malé a střední podniky

Dvojité vydírání, tedy šifrování systémů a zároveň vyhrožování únikem odcizených dat, zásadně mění rovnici rizika pro menší organizace. Podnik s kvalitními, otestovanými zálohami měl dříve jasnou cestu k obnově: obnovit a znovu vybudovat. Zálohy však nezabrání únikovému webu ve zveřejnění zákaznických smluv, rodných čísel zaměstnanců nebo proprietárních obchodních dat.

To má obrovský význam pro malé a střední podniky, které se mohou domnívat, že samotné zálohy představují dostatečnou obranu proti ransomwaru. Nedávný příklad toho, jak tyto výhrůžky únikem fungují v praxi, zahrnuje útok ransomwarové skupiny Play na společnost Kreysler & Associates, kde skupina postupovala podle svého typického operačního modelu a vyhrožovala zveřejněním odcizených dat, místo aby se spoléhala výhradně na šifrování jako prostředek k vynucení platby. Případy jako tento ilustrují, že vyjednávací páka, kterou útočníci drží, se přesunula z „uzamkli jsme vaše systémy“ na „máme vaše data a zveřejníme je“. To je reputační, právní a regulační riziko, které samotná obnova ze záloh jednoduše nemůže vyřešit.

Pro menší organizace bez specializovaných bezpečnostních týmů tento posun znamená, že plánování reakce na incidenty musí počítat se scénáři odhalení dat, nejen s výpadky systémů.

Praktické kroky k posílení bezpečnosti, které řeší riziko vydírání

Zálohy zůstávají nezbytné, ale samy o sobě již nestačí. Organizace, které to myslí vážně se snižováním rizika vydírání, by se měly zaměřit na několik oblastí, jež přesahují tradiční zotavení po havárii:

  • Omezte, co mohou útočníci odcizit. Snižte retenci dat, kde je to možné, a segmentujte sítě tak, aby jediný kompromitovaný účet neposkytl přístup ke všemu.
  • Monitorujte exfiltraci, nejen šifrování. Detekční nástroje, které označují neobvyklé odchozí přenosy dat, mohou zachytit útok dříve, než soubory opustí síť, což je často dříve, než by to zachytilo monitorování zaměřené na šifrování.
  • Posilte kontrolu identit. Vícefaktorová autentizace a pečlivě spravované privilegované účty zůstávají jednou z nejúčinnějších bariér proti počátečnímu přístupu, který útočníci potřebují, aby vůbec mohli data odcizit.
  • Vytvořte plán reakce na incidenty, který řeší hrozby únikem. Právní, komunikační a regulační oznamovací kroky by měly být naplánovány před útokem, nikoli během něj.

Co to znamená pro vás

Pokud se plán vaší organizace proti ransomwaru stále soustředí především na postupy zálohování a obnovy, řeší včerejší hrozbu. Hrozba ransomwarového vydírání daty znamená, že skutečné riziko je často to, co útočníci již zkopírovali, než jste si vůbec všimli problému. To platí, ať už jste školní obvod, obecní úřad nebo malá firma nakládající s daty zákazníků. Domnívat se, že jste příliš malí na to, abyste byli cílem, už není bezpečná sázka; menší organizace jsou často vybírány právě proto, že mají méně obranných mechanismů.

Klíčové poznatky

  • Ransomwarové útoky stále více upřednostňují krádež dat a hrozby únikem před čistým šifrováním, což je vzorec pozorovaný jak regionálně, tak mezinárodně.
  • Obnova ze šifrování pomocí záloh neeliminuje riziko, že odcizená data budou zveřejněna.
  • Malé a střední organizace, včetně škol a obecních sítí, zůstávají častými cíli kvůli omezeným bezpečnostním zdrojům.
  • Účinná obrana nyní vyžaduje monitorování exfiltrace dat, zpřísnění kontrol přístupu a plánování reakce na incidenty s ohledem na možnost veřejného úniku, nikoli jen výpadku systémů.