Hvorfor ransomware-angreb nu drejer sig om datatyveri, ikke kryptering

I årevis var standardfremgangsmåden for ransomware enkel: bryd ind, krypter filer, kræv betaling for dekrypteringsnøglen. Backups var svaret. Gendan dine systemer, ignorer løsesumsedlen, kom videre. Den fremgangsmåde er stort set forældet.

Nutidens ransomware-grupper har tilpasset sig det faktum, at mange organisationer udmærket kan komme sig efter kryptering. Så de har flyttet pressionsmidlet. Før de låser noget som helst, kopierer angribere nu i stilhed følsomme filer, regnskabsdata, medarbejderoplysninger, klientinformationer ud af netværket. Kryptering er nærmest blevet sekundært, nogle gange helt sprunget over. Den reelle trussel er en offentlig lækageside, hvor stjålne data offentliggøres, hvis der ikke betales. Dette er truslen om dataafpresning fra ransomware, som sikkerhedsforskere har fulgt nøje, og den ændrer, hvad "at være forberedt" reelt betyder for organisationer af alle størrelser.

Mønsteret er ikke isoleret til nogen bestemt region eller branche. Rapportering om ransomware-hændelser i Indien fandt for eksempel, at et flertal af angreb nu involverer datatyveri snarere end ren kryptering, ifølge Proofpoints analyse af ransomware-aktivitet dér. Den samme dynamik udspiller sig tættere på hjemmet, herunder i St. Louis-området.

Hvad der vides om hændelserne i St. Louis-området

Ifølge rapportering fra CHR Solutions, et IT- og cybersikkerhedsfirma med base i St. Louis, har ransomware ramt skolesystemer, byens netværk og lokale virksomheder i storbyområdet inden for blot de seneste måneder. Firmaet, der arbejder direkte med regionale organisationer for at lukke sikkerhedshuller, fremstiller dette som et lokalt og tilbagevendende problem snarere end en fjern overskrift. Specifikke detaljer om enkelte hændelser er begrænsede i den tilgængelige rapportering, men det beskrevne mønster afspejler, hvad der sker nationalt: netværk i den offentlige sektor og små til mellemstore virksomheder er hyppige mål, ofte fordi de har færre dedikerede sikkerhedsressourcer end store virksomheder.

Skolekredse og kommunale netværk er særligt attraktive mål for afpresningsbaserede angreb. De besidder store mængder personoplysninger, herunder optegnelser om elever, ansatte og borgere, og de står ofte over for et offentligt pres for at undgå forstyrrelser, hvilket kan gøre dem mere tilbøjelige til at forhandle. Når angribere ved, at pressionsmidlet ikke blot er "kan I fungere uden jeres filer", men "har I råd til at få disse data offentliggjort", stiger presset for at betale betydeligt.

Hvordan dobbeltafpresning ændrer regnestykket for små og mellemstore virksomheder

Dobbeltafpresning, at kryptere systemer samtidig med at man truer med at lække stjålne data, ændrer grundlæggende risikoligningen for mindre organisationer. En virksomhed med solide, testede backups havde tidligere en klar vej til genoprettelse: gendan og genopbyg. Men backups forhindrer ikke en lækageside i at offentliggøre kundekontrakter, medarbejderes CPR-numre eller proprietære forretningsdata.

Dette har enorm betydning for små og mellemstore virksomheder, der måske antager, at backups alene udgør et ransomware-forsvar. Et nyligt eksempel på, hvordan disse lækagetrusler udspiller sig i praksis, involverer Play-ransomwaregruppens påståede angreb på Kreysler & Associates, hvor gruppen fulgte sin typiske arbejdsmodel med at true med at offentliggøre stjålne data i stedet for udelukkende at stole på kryptering for at tvinge betaling. Sager som denne illustrerer, at det forhandlingspres, angriberne har, er flyttet fra "vi har låst jeres systemer" til "vi har jeres data, og vi vil frigive dem offentligt." Det er en omdømmemæssig, juridisk og reguleringsmæssig risiko, som backup-gendannelse simpelthen ikke kan løse.

For mindre organisationer uden dedikerede sikkerhedsteams betyder dette skift, at beredskabsplanlægning skal tage højde for scenarier med dataeksponering, ikke kun systemnedetid.

Praktiske hærdningstrin, der adresserer afpresningsrisiko

Backups er fortsat afgørende, men de er ikke længere tilstrækkelige alene. Organisationer, der er seriøse omkring at reducere afpresningsrisiko, bør fokusere på nogle få områder, der går ud over traditionel katastrofegendannelse:

  • Begræns, hvad angribere kan stjæle. Reducer dataopbevaring, hvor det er muligt, og segmentér netværk, så en enkelt kompromitteret konto ikke giver adgang til alt.
  • Overvåg for eksfiltrering, ikke kun kryptering. Detektionsværktøjer, der markerer usædvanlige udgående dataoverførsler, kan fange et angreb, før filer forlader netværket, hvilket ofte er tidligere, end krypteringsfokuseret overvågning ville opdage det.
  • Styrk identitetskontroller. Multifaktorautentifikation og stramt administrerede privilegerede konti forbliver blandt de mest effektive barrierer mod den indledende adgang, angribere har brug for for overhovedet at stjæle data.
  • Opbyg en beredskabsplan, der adresserer lækagetrusler. Trin for juridisk, kommunikationsmæssig og lovpligtig underretning bør kortlægges, før et angreb sker, ikke under et.

Hvad dette betyder for dig

Hvis din organisations ransomware-plan stadig primært drejer sig om backup- og gendannelsesprocedurer, adresserer den gårsdagens trussel. Truslen om dataafpresning fra ransomware betyder, at den reelle risiko ofte er, hvad angribere allerede har kopieret, før du overhovedet bemærkede et problem. Dette gælder, uanset om du er en skolekreds, et kommunalt kontor eller en lille virksomhed, der håndterer kundedata. At antage, at du er for lille til at være et mål, er ikke længere et sikkert væddemål; mindre organisationer vælges ofte netop, fordi de har færre forsvarsværker på plads.

Nøglepointer

  • Ransomware-angreb prioriterer i stigende grad datatyveri og lækagetrusler frem for ren kryptering, et mønster der ses både regionalt og internationalt.
  • At komme sig efter kryptering med backups eliminerer ikke risikoen for, at stjålne data offentliggøres.
  • Små og mellemstore organisationer, herunder skoler og kommunale netværk, forbliver hyppige mål på grund af begrænsede sikkerhedsressourcer.
  • Effektivt forsvar kræver nu overvågning for dataeksfiltrering, stramning af adgangskontroller og planlægning af beredskab omkring muligheden for en offentlig lækage, ikke kun systemnedetid.