Hvad de nye data om gentagen ransomware-afpresning viser

Nye tal rapporteret af Connor Jones på DataBreaches.Net bekræfter, hvad sikkerhedsforskere har mistænkt i årevis: At betale en ransomware-bande afslutter ikke prøvelsen – det markerer ofte bare starten på anden runde. Ifølge undersøgelsesdata, der citeres i rapporten, valgte 58 procent af de berørte britiske organisationer sidste år at betale en løsesum. Af dem, der betalte, blev 22 procent ramt igen af den samme eller en anden kriminel gruppe, der krævede endnu en betaling.

Det betyder, at omkring hver femte organisation, der traf den vanskelige beslutning at betale, ikke fik noget varigt for pengene. Afpresningscyklussen startede blot forfra, nogle gange inden for få uger. Dette mønster med gentagne ransomware-afpresningsbetalinger er ved at blive et definerende træk ved det nuværende trusselslandskab, og det tvinger sikkerhedsteams og ledelser til at genoverveje hele beregningen af, om betaling nogensinde er et rationelt svar.

Hvorfor en enkelt betaling indbyder til et nyt angreb

Logikken bag gentagen afpresning er ligetil fra en kriminel synsvinkel. Når en organisation viser, at den er villig til at betale, bliver den et udpeget mål. Ransomware-operatører fører optegnelser over, hvilke ofre der gav efter, hvor hurtigt de betalte, og hvor meget de var villige til at aflevere. Disse oplysninger cirkulerer ofte blandt tilknyttede netværk og sælges eller deles nogle gange mellem kriminelle grupper, der opererer under en ransomware-as-a-service-model.

Et offer, der betaler 500.000 dollars én gang, har reelt signaleret, at det både har kontantreserverne og risikovilligheden til at betale igen. Angriberne ved, at et nyt indtrængen, selv et mindre sofistikeret, har gode chancer for at lykkes, hvis de underliggende sårbarheder, der muliggjorde det første brud, ikke blev fuldstændigt udbedret. I mange tilfælde med dobbelt og tredobbelt afpresning slettes de stjålne data ikke engang efter betaling, på trods af løfter om det modsatte, hvilket holder døren åben for et opfølgende krav bygget på truslen om at offentliggøre de samme stjålne oplysninger.

Det er netop derfor, at retshåndhævende myndigheder, herunder FBI, konsekvent har frarådet at betale løsesummer. Betaling garanterer ikke datagendannelse, garanterer ikke sletning af stjålne filer, og som disse nye data viser, garanterer det ikke, at angriberne holder sig væk.

Proaktive forsvar, der reducerer ransomware-risikoen

Hvis betaling ikke pålideligt løser problemet, er den mere bæredygtige vej at reducere sandsynligheden for et vellykket brud i første omgang. Flere forsvarslag dukker konsekvent op i undersøgelser af hændelsesrespons som forskellen mellem en inddæmmet hændelse og en katastrofal.

Netværkssegmentering begrænser, hvor langt en angriber kan bevæge sig, når de først har fået fodfæste. I stedet for ét fladt netværk, hvor et enkelt kompromitteret legitimationsoplysning giver adgang til alt, tvinger segmenterede miljøer angribere til at kæmpe for hver eneste ekstra centimeter, hvilket giver forsvarerne tid til at opdage og reagere.

Zero-trust-adgangskontrol antager, at ingen bruger eller enhed automatisk er troværdig, selv inden for virksomhedens perimeter. Hver anmodning om adgang verificeres, hvilket gør det langt sværere for stjålne legitimationsoplysninger alene at låse kritiske systemer op.

Pålidelige, testede og offline-sikkerhedskopier er stadig et af de mest effektive forsvar mod ransomware, der findes. Krypterede filer holder op med at være et pressionsmiddel, når en organisation kan gendanne driften fra rene sikkerhedskopier uden at forhandle med nogen. Nøgleordet er testet: Sikkerhedskopier, der ikke er blevet verificeret gennem faktiske gendannelsesøvelser, fejler ofte netop, når der er mest brug for dem.

Flerfaktorautentificering, rettidig opdatering af internetvendte systemer og kontinuerlig overvågning for usædvanlig lateral bevægelse fuldender den basislinje, der adskiller organisationer, som kommer sig hurtigt, fra dem, der ender med at stå over for et nyt afpresningskrav.

Hvad organisationer bør gøre i stedet for at betale

Når en ransomware-hændelse indtræffer, er instinktet til at betale hurtigt og få problemet til at forsvinde forståeligt, især under pres fra kunder, tilsynsmyndigheder eller en bestyrelse, der kræver en hurtig løsning. Men dataene om gentagen afpresning gør det klart, at betaling ikke er en pålidelig exitstrategi. Organisationer er bedre tjent med at inddrage politiet tidligt, engagere professionelle inden for hændelsesrespons, som kan vurdere det faktiske omfang af dataeksponeringen, og være gennemsigtige over for berørte interessenter i stedet for at antage, at en stille betaling vil få problemet til at forsvinde.

Hvad dette betyder for dig

Uanset om du driver it for en lille virksomhed eller overvåger sikkerhedspolitik i en større organisation, er disse data et klart signal om at omfordele prioriteter. Penge, der er øremærket til beredskabsfonde til løsesum, er langt bedre brugt på segmenteringsprojekter, udrulning af zero-trust og backup-infrastruktur, der testes regelmæssigt. Cyberforsikringspolicer og beredskabsaftaler for hændelsesrespons bør også gennemgås for at sikre, at de lægger vægt på forebyggelse og gendannelsesevne frem for blot at dække en udbetaling.

For enkeltpersoner er budskabet det samme i mindre skala: Stærke, unikke adgangskoder, flerfaktorautentificering og regelmæssige sikkerhedskopier af personlige enheder og familieenheder reducerer chancen for, at en enkelt ransomware-infektion bliver et gentaget mareridt.

Konkrete anbefalinger

  • Behandl betaling af løsesum som en sidste udvej, ikke som en første reaktionsplan; dataene viser, at det ofte ikke stopper truslen.
  • Invester i netværkssegmentering, så en enkelt kompromitteret konto ikke kan blotlægge et helt miljø.
  • Indfør zero-trust-principper for intern og ekstern adgang, og verificér hver eneste anmodning i stedet for at stole alene på netværksplacering.
  • Oprethold offline, regelmæssigt testede sikkerhedskopier, så gendannelse ikke afhænger af forhandling med kriminelle.
  • Opbyg en plan for hændelsesrespons nu, før et angreb finder sted, så beslutninger ikke træffes under panik og pres.

Stigningen i gentagne ransomware-afpresningsbetalinger er et stærkt argument for at flytte ressourcer væk fra reaktiv forhandling og hen imod proaktivt forsvar. Organisationer, der foretager dette skift nu, vil være langt bedre rustet end dem, der stadig håber, at en enkelt betaling vil få problemet til at forsvinde.