En fælles advarsel fra FBI, CISA og EU-agenturer har sat ransomwaregruppen SafePay i søgelyset, hvor USA, Storbritannien og Tyskland er nævnt som mål for gruppens globale kampagne. Den vigtigste detalje for almindelige brugere og små virksomheder: angriberne går efter sikkerhedskopierne. Det gør SafePay-ransomware-sikkerhedskopieringsbeskyttelse til et større spørgsmål end blot at have en ekstra kopi af sine filer.

Kildeartiklen er kort, så dette indlæg fokuserer på, hvad advarslen signalerer, og på praktiske skridt, du kan tage. Hvor vi beskriver typisk angriberadfærd, afspejler det generel offentlig rapportering om SafePay og almindelig ransomware-praksis.

Hvad SafePay-ransomware gør, og hvem der er mål

SafePay er en ransomwaregruppe, hvilket betyder, at den bryder ind i netværk, låser data og kræver betaling for at genoprette adgang. Offentlige trusselsrapporter beskriver den som en dobbelt-afpresningsoperation: angribere kopierer data ud af ofrenes systemer, før de krypterer dem, og kræver derefter betaling i kryptovaluta. Truslen er både at miste adgang og at få følsomme filer lækket.

Den fælles advarsel beskriver en global kampagne, og de involverede agenturer spænder over USA, Storbritannien og Tyskland. Ransomwaregrupper begrænser sjældent sig selv til store virksomheder. Små virksomheder, klinikker, skoler og lokale kontorer har ofte værdifulde data men tyndere forsvar, hvilket gør dem attraktive. Enkeltpersoner med netværkslagerenheder derhjemme eller på et hjemmekontor kan også være udsat.

Offentlig rapportering om SafePay siger, at dets operatører typisk kommer ind ved at stjæle eller gætte adgangskoder og ved at udnytte sårbarheder i sikkerhedssystemer. Intet af dette er eksotisk, og det er derfor, det grundlæggende betyder så meget.

Hvorfor angribere går efter sikkerhedskopierne først

Sikkerhedskopier er sikkerhedsnettet. Hvis et offer kan gendanne fra en ren kopi, mister løsepengekravet det meste af sin løftestang. Så angribere, der forstår dette, forsøger at fjerne nettet, før de trækker i aftrækkeren. At slette, kryptere eller korrumpere sikkerhedskopier først betyder, at når løsepengebeskeden dukker op, er gendannelsesmulighederne allerede væk.

Dette er det skift, der er værd at absorbere. Mange mennesker tænker på en sikkerhedskopi som noget, der blot eksisterer. I praksis kan en sikkerhedskopi, der er tilgængelig fra dit hovednetværk med de samme loginoplysninger, blive fundet og ødelagt af enhver, der opnår den adgang. En kopi, der ligger på et drev, der permanent er tilsluttet din computer, eller en cloud-mappe, der synkroniseres automatisk, kan blive krypteret sammen med alt andet.

Sådan beskytter du sikkerhedskopier: Offline-kopier, uforanderlighed og kryptering

God SafePay-ransomware-sikkerhedskopieringsbeskyttelse starter med at antage, at en angriber til sidst vil få adgang til dine hovedsystemer, og derefter sikre, at dine sikkerhedskopier overlever det scenarie. Tre idéer hjælper:

  • Hold en offline eller isoleret kopi. Et eksternt drev, der afbrydes efter hver sikkerhedskopiering, kan ikke krypteres eksternt. For virksomheder betyder det kopier, der ikke kontinuerligt er tilgængelige fra produktionsnetværket.
  • Brug uforanderlige sikkerhedskopier. Uforanderlighed betyder, at en sikkerhedskopi ikke kan ændres eller slettes i en fastsat periode, selv ikke af en administratorkonto. Mange backup-værktøjer og cloud-lagringstjenester tilbyder dette som en indstilling. Hvis en angriber stjæler admin-legitimationsoplysninger, forbliver de låste kopier intakte.
  • Kryptér dine sikkerhedskopier. Kryptering stopper ikke en angriber i at slette data, men den beskytter indholdet, hvis en kopi bliver stjålet. Det betyder noget i et dobbelt-afpresningstilfælde, hvor lækkede data er en del af presset.

To understøttende vaner er lige så vigtige. Brug separate legitimationsoplysninger til backupsystemer, ideelt set beskyttet med multifaktorautentificering, så en stjålet hverdagsadgangskode ikke låser dem op. Og test gendannelser regelmæssigt. En sikkerhedskopi, du aldrig har gendannet, er en antagelse, ikke en plan.

Grundlæggende forsvar, der stopper den indledende intrusion

At beskytte sikkerhedskopier er den sidste forsvarslinje. Det bedre resultat er at holde angriberne ude. Fordi rapportering peger på stjålne eller gættede adgangskoder og udnyttede sårbarheder, er de mest nyttige forsvar de uglamourøse:

  • Aktivér multifaktorautentificering på e-mail, fjernadgang, cloud-konti og backup-konsoller.
  • Brug stærke, unikke adgangskoder gemt i en adgangskodeadministrator, så én lækket legitimationsoplysning ikke åbner flere døre.
  • Patch hurtigt, især internetvendte systemer som firewalls, fjernadgangsværktøjer og backup-software. Upatchede kendte fejl er en almindelig indgangsvej.
  • Begræns fjernadgang. Slå tjenester fra, du ikke bruger, og begræns, hvem der kan nå resten.

En VPN kan hjælpe med at sikre fjernforbindelser til et arbejdsnetværk, men den er ikke en erstatning for patching og MFA, og den beskytter ikke sikkerhedskopier alene.

Hvad det betyder for dig

Det internationale aspekt af denne advarsel er værd at bemærke. Regeringer, der samarbejder på tværs af grænser om cybertrusler, er ikke nyt; alliancer som Five Eyes og de bredere Fourteen Eyes er kendt for at dele efterretninger, selvom disse ordninger vedrører overvågningsdata og er en separat sag fra denne ransomware-advarsel. Det vigtigste for læserne er enklere: når flere agenturer udsender en fælles advarsel, er truslen bred og ikke begrænset til én region eller branche.

For enkeltpersoner betyder det at tjekke, om dine sikkerhedskopier virkelig er adskilt fra din computer. For små virksomheder betyder det at spørge, hvem der kan slette dine sikkerhedskopier, og om den konto er beskyttet af MFA.

Handlingsrettede pointer

SafePay-ransomware-sikkerhedskopieringsbeskyttelse handler om en kort revision, du kan gennemføre denne uge:

  1. Tjek din backup-opsætning. Har du mindst én kopi, der er offline eller uforanderlig?
  2. Adskil legitimationsoplysningerne. Sørg for, at backup-adgang bruger andre logins end daglige konti.
  3. Slå MFA til overalt, hvor det tilbydes, startende med e-mail, fjernadgang og backup-værktøjer.
  4. Installer ventende opdateringer, med prioritet til firewalls, fjernadgangssoftware og backup-applikationer.
  5. Test en gendannelse af et par filer for at bekræfte, at sikkerhedskopierne faktisk virker.

Ingen af disse skridt er komplicerede, og sammen fjerner de den løftestang, ransomwaregrupper er afhængige af. Start med revisionen i dag.