Råd om gendannelse efter ransomware afslører risiko for forbrugerdata

Hvad dobbelt afpresning betyder ud over filkryptering

De fleste forestiller sig et ransomware-angreb som en låst skærm og en nedtællingstimer, der kræver betaling for at låse krypterede filer op. Det billede er forældet. En nylig gennemgang af ransomware-gendannelse fra RedRiver gør det klart, at kryptering ofte er det sidste skridt i en meget længere indtrængen, ikke det første tegn på problemer. Mange ransomware-grupper bruger nu dobbelt afpresning, en taktik hvor angribere stjæler følsomme data, før de nogensinde udløser den kryptering, der låser et offer ude af deres egne systemer.

Under dobbelt afpresning får betaling af en løsesum for at dekryptere filer ikke problemet til at forsvinde. Angriberen har stadig en kopi af de data, de har eksfiltreret, og de kan true med at lække eller sælge dem, uanset om løsesummen bliver betalt. For virksomheder ændrer dette hele regnestykket for gendannelse. For almindelige forbrugere, hvis oplysninger tilfældigvis befinder sig i en ramt virksomheds systemer, betyder det, at faren ikke slutter, når overskrifterne om et ransomware-angreb ebber ud.

Hvorfor måneder med uopdaget adgang betyder noget for eksponerede data

Et af de mere alvorlige punkter i RedRivers vejledning er tidslinjen. Løsesumsedler vises typisk kun, efter at angribere allerede har brugt en betydelig periode, beskrevet som mere end seks måneder i mange tilfælde, på stille og roligt at operere inde i et offers netværk, før de udløser selve ransomwaren. I det vindue bliver legitimationsoplysninger høstet, data bliver potentielt eksfiltreret, og angribere bevæger sig lateralt på tværs af systemer langt ud over det, der viser fejlskærme på den dag, angrebet bliver synligt.

Derfor skal en ordentlig retsmedicinsk undersøgelse efter en ransomware-hændelse besvare to separate spørgsmål: hvad blev krypteret, og hvad blev taget. Det er ikke det samme problem, og at behandle dem som ét er en almindelig fejl. En organisation kan gendanne hver eneste krypterede fil fra sikkerhedskopier og stadig have et uløst dataeksponeringsproblem, der ligger i en angribers besiddelse. Dette er også grunden til, at ransomware-beskyttelsesstrategier, der kun er bygget op omkring sikkerhedskopier, kommer til kort i 2025. Sikkerhedskopier løser tilgængelighedsproblemet. De gør intet ved fortrolighedsproblemet, som dobbelt afpresning skaber.

Hvad forbrugere kan gøre, hvis deres data blev fanget i et brud

Hvis du modtager en underretning om et brud i forbindelse med en ransomware-hændelse, så behandl det som bevis på, at dine data kan være blevet kopieret af en angriber, ikke bare midlertidigt utilgængelige. Et par praktiske skridt gør en reel forskel:

• Skift adgangskoder knyttet til den berørte konto, og enhver anden konto, hvor du har genbrugt den adgangskode. Høstning af legitimationsoplysninger er en rutinemæssig del af disse indtrængen, og genbrugte adgangskoder er en af de nemmeste måder, hvorpå angribere skifter fra ét brud til urelaterede konti.
• Aktivér multi-faktor-godkendelse, hvor det tilbydes, især på e-mail, bank og enhver konto, der kunne bruges til at nulstille andre legitimationsoplysninger.
• Vær opmærksom på phishing, der henviser til reelle detaljer fra bruddet. Angribere, der eksfiltrerer data, bruger nogle gange dem til at udforme overbevisende opfølgningssvindelnumre, da en besked, der henviser til dit rigtige kontonummer eller din købshistorik, er langt mere troværdig end et generisk phishing-forsøg.
• Overvej en kreditfrysning eller overvågningstjeneste, hvis de eksponerede data inkluderede finansielle eller identitetsrelaterede oplysninger, da lækkede data fra dobbelt afpresnings-hændelser kan dukke op på kriminelle markedspladser længe efter det oprindelige angreb.

Ingen af disse skridt fortryder eksponeringen, men de begrænser, hvor meget skade en angriber kan gøre med data, der allerede er uden for din kontrol.

Hvordan dette passer ind i det bredere billede af ransomware-gendannelse

Den forbrugerrelaterede risiko, der beskrives her, er reelt et symptom på et større mønster i ransomware-gendannelse: at betale garanterer ikke et rent resultat. En undersøgelse, der dækkede Australien og New Zealand, viste, at 36% af løsesumsbetalinger faktisk ikke gendanner data, hvilket understreger, at løsesumsbetaling er et hasardspil, selv på det snævre spørgsmål om at få filer tilbage, for ikke at nævne at forhindre et datalæk. Anden gendannelsesorienteret vejledning, herunder en trin-for-trin-gennemgang af ransomware-gendannelse, forstærker det samme budskab: gendannelse skal adressere både restaurering og eksponering, behandlet som separate spor med separate tidslinjer.

Hvad dette betyder for dig

Uanset om du er en erhvervsleder, der håndterer en aktuel hændelse, eller en forbruger, der har modtaget en underretning om brud, er lektionen den samme. Dataeksponering fra ransomware med dobbelt afpresning løser ikke sig selv, når systemerne er online igen, eller en beslutning om løsesum er truffet. Data, der forlod netværket, før krypteringen startede, er allerede uden for enhver kontrol, og den eneste meningsfulde reaktion er at begrænse, hvad de stjålne data kan bruges til næste gang.

Handlingsorienterede pointer

• Antag, at enhver underretning om ransomware-brud involverer datatyveri, ikke bare systemforstyrrelse, og handle derefter.
• Opdater adgangskoder, og aktivér MFA med det samme på enhver konto, der er forbundet med en ramt organisation.
• Vær på vagt over for målrettet phishing, der bruger specifikke detaljer hentet fra et brud.
• Erkend, at betaling af en løsesum eller gendannelse fra sikkerhedskopier adresserer kryptering, ikke den separate risiko for lækkede data.
• Støt lagdelt sikkerhedspraksis, både personligt og i organisationer, du betror dine data, da forebyggelse stadig slår gendannelse bagefter.