Hvad Proofpoints Indien-ransomwaredata faktisk viser

En ny rapport fra sikkerhedsfirmaet Proofpoint tegner et bekymrende billede for organisationer i Indien, der håndterer ransomware. Dataene viser, at 62 % af de berørte indiske virksomheder rapporterede en større samlet påvirkning fra deres seneste angreb, et tegn på, at disse hændelser bliver mere skadelige, ikke mindre, selvom bevidstheden og forsvarsudgifterne stiger. Måske mest bemærkelsesværdigt er bekræftelsen af, at datatyveri og afpresning ved ransomware i Indien er blevet normen snarere end undtagelsen: Datatyveri blev bekræftet i 71 % af de hændelser, Proofpoint undersøgte.

Den statistik sætter tingene i et nyt lys og ændrer den opfattelse, mange organisationer stadig har af et ransomware-problem. Det handler ikke længere kun om krypterede filer og en løsesum-seddel. I langt de fleste af de undersøgte tilfælde havde angribere allerede eksfiltreret følsomme data, før de låste systemerne, hvilket giver dem en anden pressionsmulighed, selvom offerets backups er solide nok til at undgå at betale for en dekrypteringsnøgle.

Hvorfor betaling af løsesummen ikke stopper gentagen afpresning

På trods af udbredte anbefalinger fra retshåndhævelse og sikkerhedsprofessionelle om ikke at betale ransomware-krav, betalte 64 % af de berørte indiske organisationer alligevel. Instinktet er forståeligt: En betaling føles som den hurtigste vej tilbage til normal drift. Men Proofpoints resultater tyder på, at det instinkt i stigende grad er malplaceret. Næsten halvdelen af dem, der betalte, 48 %, stod efterfølgende over for yderligere afpresningskrav.

Dette mønster er ikke unikt for Indien. Det afspejler, hvad Proofpoint har dokumenteret globalt, hvor ransomware-betalere ofte bliver ramt igen, og en betaling fungerer mindre som en løsning og mere som et signal til angriberne om, at et mål er villig til at forhandle. Separat Proofpoint-forskning har vist, at 22 % af løsepengebetalere udsættes for gentagen afpresning, mens andre data peger på, at omtrent 1 ud af 3 ransomware-betalere bliver ramt igen. Indiens tal på 48 % for gentagen afpresning ligger i den høje ende af spektret, hvilket tyder på, at organisationer dér måske står over for en endnu skarpere version af den samme globale tendens.

De 71 % datatyverifrekvens: Hvad angribere tager, før de krypterer

Grunden til, at gentagen afpresning fungerer så godt for angribere, er enkel: Når først data er stjålet, er kryptering nærmest underordnet. Hvis 71 % af hændelserne allerede involverer bekræftet datatyveri, bidrager betaling for en dekrypteringsnøgle ikke til at håndtere den kopi af følsomme filer, der ligger på angriberens infrastruktur. Disse data kan sælges, lækkes eller bruges som nyt pressionsmiddel til et andet eller tredje krav, hvilket er med til at forklare, hvorfor så mange organisationer, der betalte én gang, endte med at betale igen eller stod over for nye trusler, selv efter at have afgjort den første.

Dette er den centrale forskydning, der adskiller moderne ransomware fra fortidens fil-låse-angreb. Kryptering forstyrrer driften på kort sigt, men datatyveri skaber en langsigtet hæftelse, som en enkelt betaling ikke kan løse. For organisationer, der håndterer kundejournaler, finansielle oplysninger eller proprietære forretningsdata, slutter eksponeringen ikke, når systemerne kommer online igen.

Reducering af eksponering: Netværkssegmentering, backups og adgangskontroller

Den praktiske reaktion på denne forskydning må gå ud over blot at beslutte, om man skal betale. Nogle få konkrete skridt er vigtigere end nogensinde:

  • Netværkssegmentering begrænser, hvor langt en angriber kan bevæge sig, når vedkommende først er inde, hvilket reducerer risikoen for, at en enkelt kompromitteret konto fører til virksomhedsdækkende dataeksponering.
  • Offline, afprøvede backups er fortsat afgørende for gendannelse efter kryptering, men de adresserer ikke datatyveri, så de bør kombineres med overvågning for usædvanlige udgående dataoverførsler.
  • Strenge adgangskontroller og princippet om mindste privilegium reducerer mængden af følsomme data, som en enkelt kompromitteret legitimationsoplysning kan nå.
  • Planlægning af incident response bør antage, at data allerede er blevet kopieret, ikke blot at systemer muligvis er låst, og bør omfatte en kommunikationsplan for kunder og myndigheder, hvis dataeksponering bekræftes.

Organisationer, der bygger forsvar omkring disse principper, arbejder ud fra den antagelse, at forebyggelse alene ikke altid vil lykkes, og at begrænsning af skadesomfanget ved et indtrængen er lige så vigtigt som at holde angriberne ude i første omgang.

Hvad dette betyder for dig

Hvis din organisation opererer i Indien eller håndterer data tilknyttet indiske kunder eller partnere, er denne rapport et signal om at revidere incident response-planer med et specifikt spørgsmål i tankerne: Hvad sker der, når vi opdager, at data allerede er blevet stjålet, ikke kun efter at filer er krypteret? At behandle ransomware udelukkende som et tilgængelighedsproblem, der kan løses med backups og en eventuel betaling, stemmer ikke længere overens med, hvordan disse angreb rent faktisk udfolder sig. Det mønster for datatyveri og afpresning ved ransomware i Indien, som Proofpoints data beskriver, viser, at krypteringsøjeblikket ofte blot er ét stadie i en længere kampagne.

Vigtigste pointer

  • Antag, at der er sket datatyveri ved ethvert ransomware-angreb; vent ikke på bekræftelse, før du handler ud fra den antagelse.
  • Betragt en løsepengebetaling som en forretningsbeslutning med reel risiko for gentagen afpresning, ikke en garanteret løsning – et mønster, der er i overensstemmelse med, hvad anden Proofpoint-forskning om gentagen afpresning har dokumenteret på tværs af markeder.
  • Invester i segmentering og adgangskontroller nu, da de begrænser skader uanset, hvordan en angriber kommer ind.
  • Opbyg en kommunikationsplan for databrud sideløbende med din ransomware-recovery-plan, eftersom de to i stigende grad er den samme hændelse.

Som bredere branche-data om ransomware-betalinger fortsat viser, er Indiens erfaring ikke en undtagelse. Det er en lokal afspejling af et globalt skifte i retning af flertrinsafpresning, og organisationer, der planlægger for det nu, vil være langt bedre rustet end dem, der stadig håber, at en enkelt betaling vil få problemet til at forsvinde.