Ransomware dobbelt afpresning forklaret enkelt: angribere låser ikke længere bare dine filer, de stjæler dine data først og bruger dem som løftestang. Ifølge en nylig rapport fra HIPAA Journal går ransomware-grupper nu et skridt videre og tyr til trusler i den virkelige verden for at presse ofre til at opfylde deres krav. For alle, hvis personlige oplysninger ligger i en virksomheds database, er denne ændring vigtig.

Ransomware dobbelt afpresning forklaret: Hvordan taktikkerne er eskaleret

Historien om ransomware er en historie om konstant tilpasning. I begyndelsen var det nok at kryptere offerets filer for at tvinge en betaling frem. Hvis et hospital, en skole eller en virksomhed ikke kunne åbne sine egne data, havde den en stærk grund til at betale.

Derefter blev ofrene bedre til cyberrobusthed. Mange organisationer begyndte at tage backups og opdagede, at de kunne gendanne krypterede filer uden at give efter for angriberne. Kryptering alene holdt op med at være en pålidelig indtægtskilde, så kriminelle ændrede deres tilgang.

Næste skridt var datatyveri. Ransomware-grupper begyndte at kopiere følsomme filer ud af offerets netværk, før de krypterede noget. De truede derefter med at sælge eller lække de stjålne oplysninger. Dette er dobbelt afpresningsmodellen: den ene trussel er de låste systemer, den anden er eksponeringen af dataene. En god backup løser det første problem, men gør intet ved det andet.

Den seneste rapport beskriver en yderligere eskalering, hvor grupper tyr til trusler i den virkelige verden som en måde at øge presset på. Det uddrag af artiklen, som vi har adgang til, beskriver ikke alle taktikker, så det er værd at læse den originale rapportering for detaljer. Den overordnede retning er dog klar: hver gang forsvarere lukker én vej, leder angribere efter en ny kilde til løftestang.

Hvorfor betaling af løsepenge ikke beskytter dine data

Det er fristende at tro, at hvis en virksomhed betaler, forsvinder problemet. I praksis er den antagelse usikker af en simpel grund: når kriminelle først har kopieret dine data, er du fuldstændig afhængig af deres ord for, at de vil slette dem. Det er mennesker, som allerede har brudt loven for at få dem.

Der er også et strukturelt problem. Datatyveri betyder, at oplysningerne har forladt bygningen. Selv hvis systemerne gendannes, og der betales, kan organisationen ikke uafhængigt verificere, hvad der sker med kopierne. For de personer, hvis navne, adresser, helbredsoplysninger eller finansielle oplysninger var i disse data, afhænger risikoen ikke af, hvorvidt virksomheden forhandlede.

Det er derfor, taktikken er så effektiv. Backups løste krypteringsproblemet, men de kan ikke gøre stjålne data ustjålne. Afpresning baseret på eksponering fortsætter med at virke, fordi skaden på mennesker er reel, uanset om der betales løsepenge eller ej.

Hvad trusler i den virkelige verden betyder for almindelige mennesker

De fleste forhandler aldrig med en ransomware-gruppe. De er normalt dem, hvis data holdes som gidsel. Når kriminelle tilføjer pres ud over den digitale sfære, er de mest berørte ofte kunder, patienter og medarbejdere, hvis oplysninger ligger i de stjålne filer.

Det har et par praktiske konsekvenser:

  • Dine datas sikkerhed afhænger af andres sikkerhed. Du kan ikke patche en virksomheds servere, men du kan beslutte, hvor mange af dine oplysninger de har.
  • Påstande er ikke altid bekræftede brud. Banditter offentliggør ofte deres angreb for at lægge pres. For eksempel hævdede en gruppe offentligt et brud hos Marlborough Partners, men der var ingen bekræftet evidens bag påstanden på tidspunktet for vores dækning af Anubis ransomware-påstanden. Ligeledes sagde Kingston Technology, at de undersøgte sagen, efter at Everest-gruppen fremsatte påstande, som vi dækkede i vores rapport om Kingston Technology-undersøgelsen.
  • Afpresning er ikke begrænset til én sektor. Vores opsamling af Stadler Rail-afpresning og russisk Zimbra-spionage er endnu en påmindelse om, at disse presskampagner dukker op på tværs af brancher.

Den fælles tråd er, at du ofte først hører om et problem bagefter, fra et underretningsbrev eller en nyhedshistorie. På det tidspunkt er dataene allerede ude af dine hænder.

Sådan reducerer du din eksponering før et brud

Du kan ikke stoppe en ransomware-bande fra at målrette en virksomhed, du gør forretning med, men du kan begrænse skaden, hvis det sker. Disse trin fokuserer på det, der er inden for din kontrol.

  1. Del mindre. Giv kun tjenester de oplysninger, de virkelig har brug for. Hvis en formular beder om en fødselsdato, et telefonnummer eller et ID, der ikke er essentielt, kan du overveje at udelade det eller bruge det minimum, der kræves. Data, der aldrig blev indsamlet, kan ikke stjæles.
  2. Slet det, du ikke længere bruger. Luk gamle konti, og anmod om sletning, hvor det er muligt. Dvalekonti er stadig data, der ligger på en eller andens server.
  3. Hold offline-backups af dine egne filer. Backups stopper ikke datatyveri, men de beskytter dig mod det oprindelige ransomware-problem på dine egne enheder. Hold mindst én kopi afkoblet fra dit netværk.
  4. Brug unikke adgangskoder og multifaktor-godkendelse. Hvis et brud eksponerer loginoplysninger, forhindrer unikke adgangskoder, at én lækage låser op for dine andre konti.
  5. Hold øje med brudunderretninger. Læs breve og e-mails fra virksomheder omhyggeligt, og vær forsigtig med uventede beskeder, der refererer til dine personlige oplysninger, da stjålne data kan drive overbevisende svindel.
  6. Vær skeptisk over for trusler. Hvis du modtager en besked, der hævder, at dine data er blevet stjålet, og som kræver betaling, skal du verificere gennem officielle kanaler, før du svarer. Klik ikke på links, og ring ikke til numre i selve beskeden.

Hvad dette betyder for dig

Den vigtigste lære er, at betaling af løsepenge ikke er en privatlivsstrategi, og det er håbet om, at en virksomhed har gode backups, heller ikke. Dobbelt afpresning flyttede risikoen fra låste systemer til eksponerede data, og bevægelsen mod trusler i den virkelige verden viser, at kriminelle vil blive ved med at lede efter nye måder at lægge pres på. Dit bedste forsvar er at reducere, hvor mange følsomme oplysninger der findes om dig i andres systemer, og at være klar til at handle hurtigt, hvis du bliver underrettet om et brud.

Vigtigste pointer

At forstå ransomware dobbelt afpresning forklaret i enkle vendinger hjælper dig med at se, hvorfor disse angreb fortsætter med at lykkes: truslen handler ikke længere bare om nedetid, den handler om eksponering. Begræns de personlige data, du afgiver, hold offline-backups af det, der betyder noget for dig, og vær meget opmærksom på brudunderretninger. For at se, hvordan disse taktikker udspiller sig i praksis, følg vores løbende dækning af nylige ransomware-påstande, startende med Anubis- og Everest-historierne linket ovenfor.