Dobbelt afpresning med ransomware: Derfor er backups ikke nok

Hvad dobbelt afpresning med ransomware faktisk stjæler

I årevis var det standardrådet for at overleve et ransomware-angreb enkelt: hav gode backups, så kan du gendanne dine systemer uden at betale. Det råd er ikke længere nok. Moderne ransomware-bander krypterer ikke længere blot dine data – de eksfiltrerer (stjæler) dem først. Dette kaldes dobbelt afpresning, og det ændrer fundamentalt regnestykket for både ofre og forsvarere.

Sådan fungerer det. Før angriberne nogensinde udløser krypteringen, der låser dig ude af dine filer, kopierer de roligt følsomme data ud af dit netværk: kunderegistre, finansielle dokumenter, medarbejderoplysninger, intellektuel ejendom – hvad end de kan finde. Først efter at dataene er blevet suget ud, begynder det synlige angreb. Det betyder, at når du opdager løsesumsedler eller låste filer, er tyveriet allerede sket. Gendannelse fra backup løser krypteringsproblemet, men det gør intet for at forhindre angriberne i at true med at lække eller sælge de stjålne data.

Denne ændring betyder noget, fordi den gør ethvert ransomware-incident til et potentielt databrud, uanset om du har pletfri backups liggende urørte et sted. Beskyttelse mod dobbelt afpresning med ransomware skal derfor starte længe før en angriber overhovedet kommer i nærheden af dine krypteringsnøgler.

Hvorfor betaling af løsesummen ikke garanterer dine data tilbage

Et punkt, der er værd at gentage for enhver organisation, der overvejer sine muligheder under et angreb: der er ingen juridisk kontrakt, der forpligter en ransomware-bande til at slette stjålne data efter betaling. Disse er kriminelle virksomheder, der opererer uden for enhver håndhævbar aftale. Betaling forpligter dem ikke til at ødelægge kopier af dine filer, og det stopper dem ikke fra at videresælge dataene til andre kriminelle eller lække dem senere alligevel.

Erfaringsgrundlaget for virksomheder, der betaler, er heller ikke beroligende. Selv efter en løsesum er betalt, er der ingen garanti for at få brugbare data tilbage, og ingen garanti for at de samme data ikke dukker op igen i et fremtidigt afpresningsforsøg. Angribere har alle incitamenter til at beholde kopier som løftestang, da et offer, der har betalt én gang for at undgå forlegenhed eller regulatorisk eksponering, kan betale igen under fornyet pres.

Denne dynamik er kun blevet intensiveret, efterhånden som afpresningstaktikker udvikler sig. Nogle bander bruger nu automatiserede værktøjer til at accelerere og personalisere preskampagnen mod ofre – en tendens, der er dækket i detaljer i hvordan ransomware-bander nu bruger AI til at presse ofre hårdere. Budskabet er konsekvent: forebyggelse og inddæmning betyder langt mere end at håbe på, at en kriminel gruppe vil ære sin del af en ulovlig transaktion.

Netværkssegmentering og VPN-brug som første forsvarslinje

Fordi datatyveri sker før det synlige angreb, er de mest effektive forsvar dem, der begrænser, hvad en ubuden gæst kan nå i første omgang – ikke kun hvad der sker efter detonation.

Netværkssegmentering er centralt her. Når alle enheder og servere ligger på ét fladt netværk, kan en angriber, der kompromitterer en enkelt arbejdsstation, ofte bevæge sig lateralt for at nå filservere, backupsystemer og databaser med følsomme registre. Ved at segmentere netværket i isolerede zoner – adskille økonomisystemer fra generel medarbejderadgang, isolere backupinfrastruktur fra produktionssystemer og begrænse administrativ adgang – betyder det, at en enkelt kompromitteret konto eller enhed ikke åbner døren til alt på én gang.

Sikker fjernadgang betyder lige så meget. Medarbejdere og eksterne leverandører, der forbinder udefra kontoret, er en almindelig indgangsvinkel for angribere, især når fjernadgang er afhængig af eksponerede protokoller eller svag autentifikation. Ved at bruge en korrekt konfigureret VPN med stærk autentifikation, i stedet for at lade fjernskrivebord eller administrative porte være direkte tilgængelige fra internettet, lukkes en af de mest udnyttede veje ind i et netværk. Kombineret med multi-faktor-autentifikation og princippet om mindste rettighed (giv brugere og systemer kun den adgang, de faktisk har brug for), reducerer disse tiltag mængden af data, som ethvert enkelt brud kan eksponere.

Datahygiejne runder denne første forsvarslinje af. Organisationer, der ikke ved, hvilke følsomme data de opbevarer, hvor de ligger, eller hvem der kan få adgang til dem, har ingen mulighed for at begrænse, hvad en angriber kan stjæle. Regelmæssig revision og minimering af opbevarede følsomme data, kryptering af dem i hvile og fjernelse af det, der ikke længere er nødvendigt, formindsker målet, selv hvis angribere kommer ind.

Opbyg en beredskabsplan før du bliver ramt

Selv stærke forebyggelsestiltag kan svigte mod en målrettet angriber, hvilket er hvorfor en beredskabsplan skal eksistere før – ikke under – en krise. En plan, der bygges midt i et aktivt angreb, under pres og med en nedtælling fra angriberen, fører langt oftere til kostbare fejl.

En effektiv plan identificerer, hvem der har beslutningsmyndighed, herunder om man skal inddrage politi eller eksterne beredskabsspecialister, før situationen eskalerer. Den definerer, hvordan systemer isoleres for at stoppe lateral bevægelse, så snart mistænkelig aktivitet opdages, og den etablerer kommunikationsprotokoller, så juridiske, tekniske og ledelsesmæssige teams ikke arbejder ud fra forskellige informationer. Den tager også højde for virkeligheden ved specifikt dobbelt afpresning: da data kan være stjålet allerede, selv hvis krypteringen opdages tidligt, bør planen inkludere trin til at vurdere, hvilke data der kan være eksponeret, og underrette berørte parter i overensstemmelse med loven.

Hvad dette betyder for dig

For de fleste organisationer er den praktiske ændring denne: ransomware-forsvar kan ikke længere behandles rent som et backup- og gendannelsesproblem. Dobbelt afpresning betyder, at skaden ofte er sket, før du ved, at et angreb er i gang. Det gør adgangskontrol, segmentering og sikre fjernforbindelser lige så vigtige som gendannelsesplanlægning. Hvis din organisation eller dit personlige setup er afhængig af fjernadgang til følsomme systemer, er brug af en anerkendt VPN med stærk autentifikation et fundamentalt skridt, ikke en valgfri ekstra. Angribere bliver også mere sofistikerede i, hvordan de presser ofre efter et brud, hvilket er værd at forstå på sine egne præmisser.

Handlingsorienterede pointer

• Antag, at ethvert ransomware-incident også kan være et databrud, og planlæg din respons derefter – ikke kun omkring gendannelse af filer.
• Segmentér dit netværk, så en enkelt kompromitteret enhed eller konto ikke kan nå alt, især backupsystemer.
• Kræv VPN-adgang med multi-faktor-autentifikation for enhver fjernforbindelse til interne systemer, og undgå at eksponere fjernadgangsprotokoller direkte til internettet.
• Gennemgå, hvilke følsomme data du faktisk opbevarer og hvor, og fjern eller krypter det, du ikke har brug for.
• Byg og øv en beredskabsplan nu, inklusive beslutningsmyndighed og kommunikationstrin, så du ikke improviserer under et aktivt angreb.
• Behandl ikke løsesumsbetaling som en pålidelig gendannelsesvej. Der er ingen kontrakt, der tvinger angribere til at slette stjålne data eller levere fungerende dekryptering, og betaling garanterer ikke, at dine data ikke dukker op igen senere.