Ransomware plejede at være et simpelt, brutalt problem: angribere låste dine filer og krævede betaling for nøglen. I dag er billedet mere kompliceret. Denne guide giver en gennemgang af dobbelt afpresning ransomware forklaret for almindelige læsere, baseret på en nylig japansksproget kommentar af Masaya Kinoshita, der beskriver, hvordan ransomware-skader er blevet stadig mere sofistikerede og alvorlige.
Hovedpointen er, at den mest udbredte taktik nu er "dobbelt afpresning". Angribere krypterer ikke længere bare data. De stjæler også information og truer med at lække den, hvis deres krav ikke opfyldes. Det skifte ændrer, hvad forsvar betyder, for organisationer og for de enkeltpersoner, hvis data disse organisationer opbevarer.
Hvordan dobbelt afpresning fungerer
I et klassisk ransomware-angreb krypterer kriminelle en victims filer og kræver penge for dekryptering. Victims vigtigste spørgsmål er, om de kan gendanne deres systemer.
Dobbelt afpresning tilføjer en anden løftestang. Før eller mens de krypterer, kopierer angriberne følsomme oplysninger ud af victimens netværk. Derefter præsenterer de to trusler på én gang:
- Betal, ellers forbliver dine systemer låst.
- Betal, ellers bliver dine stjålne data offentliggjort.
Kommentaren beskriver dette som den mest udbredte tilgang, ikke en eksotisk en. Den anden trussel er det, der gør taktikken så effektiv. Selv et offer med en perfekt gendannelsesplan står stadig over for udsigten til, at kunderegistre, medarbejderoplysninger eller interne dokumenter dukker op offentligt.
Hvorfor backups alene ikke længere løser problemet
Backup af data er fortsat afgørende. Kilden understreger at sikre robuste backups som en af de specifikke foranstaltninger, organisationer bør vedtage, fordi gode backups lader et offer genoprette driften uden at betale for en dekrypteringsnøgle.
Men backups besvarer kun krypteringstruslen. De gør intet ved stjålne kopier. Genopretning af dine filer fra en ren backup trækker ikke dine data tilbage fra en angribers server. Når information først er blevet eksfiltreret, har offeret mistet kontrollen over, hvem der ser det, og de kriminelle ved det.
Det er derfor, kilden parrer backups med andre foranstaltninger, såsom multifaktor-godkendelse. At stoppe angribere i at komme ind, eller i at bevæge sig frit, når de først er inde, er den eneste måde at forhindre tyveri i første omgang. Backups er et genopretningsværktøj, ikke et forebyggelsesværktøj.
Hvad læksider som RansomHouse betyder for dine personlige data
Presset bag dobbelt afpresning anvendes ofte offentligt. Kilden henviser til et websted kaldet RansomHouse, et eksempel på de læksider, hvor afpresningsgrupper navngiver ofre og truer med at frigive eller faktisk offentliggøre stjålet materiale. Videoen, der diskuteres i kommentaren, fremhæver denne type websted som en del af den nuværende trussel.
For almindelige mennesker er hovedpointen, at du kan blive påvirket uden nogensinde at være målet. Hvis en virksomhed, klinik, skole eller leverandør, der opbevarer dine oplysninger, bliver kompromitteret, kan dine data være en del af det, der bliver stjålet. En notering på en lækside er et tegn på, at gruppen presser organisationen, ikke bevis for, at påstanden er nøjagtig. For eksempel bemærker vores dækning af Everest ransomware-noteringen af Capgemini Engineering, at sådanne påstande typisk er ubekræftede på det tidspunkt, hvor de dukker op.
Et nyligt eksempel på dette mønster er Uber Freight-bruddet, hvor Helix-gruppen hævdede næsten 1 million filer, efter at have noteret virksomheden på sin dark web-lækside. Virksomheden sagde, at den undersøgte en datasikkerhedshændelse. Hvis du vil forstå, hvor stjålne oplysninger ender henne, dækker vores forklaring om hvad der sker med dine data efter et brud den kædereaktion, der kan følge.
Hvad dette betyder for dig
De fleste læsere driver ikke et virksomhedsnetværk, men du er stadig en del af historien om dobbelt afpresning. Dine data lever i andres systemer, og du kan ikke kontrollere deres sikkerhed. Det, du kan kontrollere, er, hvor meget skade en lækage gør på dig.
Et offentliggjort eller solgt sæt personlige oplysninger kan nære phishing, forsøg på kontoovertagelse og efterligning. Genbrug af adgangskoder gør dette værre, fordi én lækket legitimationsoplysning kan låse op for flere konti. Den gode nyhed er, at en håndfuld vaner skarpt begrænser følgerne.
Praktiske trin for enkeltpersoner og små organisationer
For enkeltpersoner:
- Brug en unik adgangskode til hver konto, opbevaret i en adgangskodeadministrator.
- Slå multifaktor-godkendelse til overalt, hvor det tilbydes, startende med e-mail, bank og cloud-lagring.
- Vær skeptisk over for uventede beskeder, der refererer til dine rigtige oplysninger, da lækkede data gør svindel mere overbevisende.
- Hvis du bliver underrettet om et brud, skal du straks ændre den berørte adgangskode og alle andre, der matchede den.
- Del kun de personlige oplysninger, en tjeneste virkelig har brug for.
For små organisationer:
- Oprethold robuste backups, og opbevar mindst én kopi offline eller adskilt fra dit primære netværk, så angribere ikke også kan kryptere den.
- Kræv multifaktor-godkendelse for medarbejdere, især for fjernadgang og administratorkonti.
- Indsaml og opbevar færre følsomme data. Information, du ikke besidder, kan ikke stjæles.
- Forbered en hændelsesplan, der dækker datatyveri, ikke kun systemgendannelse, herunder hvem du ville underrette.
Vigtige pointer
At forstå dobbelt afpresning ransomware forklaret i klare vendinger kommer ned til én idé: kryptering er det synlige angreb, og tyveri er det varige. Backups beskytter din drift, men kun forebyggelse, såsom multifaktor-godkendelse og begrænsning af, hvilke data der opbevares, reducerer risikoen for en lækage.
For at se, hvad der typisk sker, efter information er taget, kan du læse vores guide om hvad der sker med dine data efter et brud og gennemgå Uber Freight og Helix-rapporten som et nyligt eksempel på en lækside-afpresningsnotering. Tag derefter ti minutter i dag til at aktivere multifaktor-godkendelse på dine vigtigste konti.
