Ransomware war früher ein einfaches, brutales Problem: Angreifer sperrten Ihre Dateien und verlangten eine Zahlung für den Schlüssel. Heute ist das Bild komplizierter. Dieser Leitfaden bietet eine Erklärung von Double Extortion Ransomware für allgemeine Leser, basierend auf einem aktuellen japanischsprachigen Kommentar von Masaya Kinoshita, der beschreibt, wie Ransomware-Schäden zunehmend raffinierter und schwerwiegender geworden sind.

Der zentrale Punkt ist, dass die vorherrschende Taktik heute „Double Extortion" ist. Angreifer verschlüsseln nicht mehr nur Daten. Sie stehlen auch Informationen und drohen damit, diese zu veröffentlichen, wenn ihre Forderungen nicht erfüllt werden. Dieser Wandel verändert die Bedeutung von Verteidigung – für Organisationen und für die Einzelpersonen, deren Daten diese Organisationen halten.

Wie Double Extortion funktioniert

Bei einem klassischen Ransomware-Angriff verschlüsseln die Kriminellen die Dateien eines Opfers und verlangen Geld für die Entschlüsselung. Die Hauptfrage des Opfers ist, ob es seine Systeme wiederherstellen kann.

Double Extortion fügt einen zweiten Hebel hinzu. Vor oder während der Verschlüsselung kopieren die Angreifer sensible Informationen aus dem Netzwerk des Opfers. Dann präsentieren sie zwei Drohungen gleichzeitig:

  • Zahle, oder deine Systeme bleiben gesperrt.
  • Zahle, oder deine gestohlenen Daten werden veröffentlicht.

Der Kommentar beschreibt dies als den vorherrschenden Ansatz, nicht als exotischen Einzelfall. Die zweite Drohung macht die Taktik so effektiv. Selbst ein Opfer mit einem perfekten Wiederherstellungsplan steht noch vor der Aussicht, dass Kundendaten, Mitarbeiterdetails oder interne Dokumente öffentlich erscheinen.

Warum Backups allein das Problem nicht mehr lösen

Die Sicherung von Daten bleibt unerlässlich. Die Quelle betont die Gewährleistung robuster Backups als eine der spezifischen Maßnahmen, die Organisationen ergreifen sollten, denn gute Backups ermöglichen es einem Opfer, den Betrieb wiederherzustellen, ohne für einen Entschlüsselungsschlüssel zu zahlen.

Aber Backups beantworten nur die Verschlüsselungsdrohung. Sie bewirken nichts gegen gestohlene Kopien. Die Wiederherstellung Ihrer Dateien aus einem sauberen Backup holt Ihre Daten nicht vom Server eines Angreifers zurück. Sobald Informationen exfiltriert wurden, hat das Opfer die Kontrolle darüber verloren, wer sie sieht, und die Kriminellen wissen das.

Deshalb kombiniert die Quelle Backups mit anderen Maßnahmen wie Multi-Faktor-Authentifizierung. Angreifer daran zu hindern, einzudringen oder sich einmal drinnen frei zu bewegen, ist der einzige Weg, Diebstahl von vornherein zu verhindern. Backups sind ein Wiederherstellungswerkzeug, kein Präventionswerkzeug.

Was Leak-Sites wie RansomHouse für Ihre persönlichen Daten bedeuten

Der Druck hinter Double Extortion wird oft öffentlich ausgeübt. Die Quelle verweist auf eine Website namens RansomHouse, ein Beispiel für die Leak-Sites, auf denen Erpressergruppen Opfer benennen und drohen, gestohlenes Material zu veröffentlichen oder es tatsächlich veröffentlichen. Das im Kommentar besprochene Video hebt diese Art von Website als Teil der aktuellen Bedrohung hervor.

Für gewöhnliche Menschen ist der entscheidende Punkt, dass Sie betroffen sein können, ohne jemals das Ziel zu sein. Wenn ein Unternehmen, eine Klinik, eine Schule oder ein Lieferant, der Ihre Informationen hält, kompromittiert wird, können Ihre Daten Teil des Gestohlenen sein. Ein Eintrag auf einer Leak-Site ist ein Zeichen dafür, dass die Gruppe die Organisation unter Druck setzt, nicht der Beweis, dass die Behauptung zutrifft. Zum Beispiel merkt unsere Berichterstattung über die Everest-Ransomware-Listung von Capgemini Engineering an, dass solche Behauptungen zum Zeitpunkt ihres Erscheinens typischerweise unbestätigt sind.

Ein aktuelles Beispiel für dieses Muster ist der Uber-Freight-Vorfall, bei dem die Helix-Gruppe fast 1 Mio. Dateien beanspruchte, nachdem sie das Unternehmen auf ihrer Dark-Web-Leak-Site gelistet hatte. Das Unternehmen erklärte, es untersuche einen Datensicherheitsvorfall. Wenn Sie verstehen möchten, wohin gestohlene Informationen als Nächstes gelangen, behandelt unsere Erklärung dazu, was mit Ihren Daten nach einem Datenleck passiert, die Kettenreaktion, die folgen kann.

Was das für Sie bedeutet

Die meisten Leser betreiben kein Unternehmensnetzwerk, aber Sie sind trotzdem Teil der Double-Extortion-Geschichte. Ihre Daten leben in den Systemen anderer, und Sie können deren Sicherheit nicht kontrollieren. Was Sie kontrollieren können, ist, wie viel Schaden ein Leck für Sie anrichtet.

Ein veröffentlichter oder verkaufter Satz persönlicher Details kann Phishing, Versuche der Kontoübernahme und Identitätsmissbrauch befeuern. Die Wiederverwendung von Passwörtern verschlimmert dies, denn ein geleaktes Zugangsdatum kann mehrere Konten entsperren. Die gute Nachricht ist, dass eine Handvoll Gewohnheiten die Folgen stark begrenzt.

Praktische Schritte für Einzelpersonen und kleine Organisationen

Für Einzelpersonen:

  • Verwenden Sie ein einzigartiges Passwort für jedes Konto, gespeichert in einem Passwort-Manager.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, beginnend mit E-Mail, Banking und Cloud-Speicher.
  • Seien Sie skeptisch gegenüber unerwarteten Nachrichten, die auf Ihre echten Details verweisen, denn geleakte Daten machen Betrug überzeugender.
  • Wenn Sie über ein Datenleck benachrichtigt werden, ändern Sie das betroffene Passwort sofort und alle anderen, die damit übereinstimmten.
  • Teilen Sie nur die persönlichen Informationen, die ein Dienst wirklich benötigt.

Für kleine Organisationen:

  • Halten Sie robuste Backups bereit und speichern Sie mindestens eine Kopie offline oder getrennt von Ihrem Hauptnetzwerk, damit Angreifer sie nicht ebenfalls verschlüsseln können.
  • Verlangen Sie Multi-Faktor-Authentifizierung für Mitarbeiter, insbesondere für Fernzugriff und Admin-Konten.
  • Erheben und speichern Sie weniger sensible Daten. Informationen, die Sie nicht halten, können nicht gestohlen werden.
  • Bereiten Sie einen Vorfallplan vor, der Datendiebstahl abdeckt, nicht nur Systemwiederherstellung, einschließlich der Frage, wen Sie benachrichtigen würden.

Die wichtigsten Erkenntnisse

Double Extortion Ransomware in einfachen Worten zu verstehen, läuft auf eine Idee hinaus: Verschlüsselung ist der sichtbare Angriff, und Diebstahl ist der bleibende. Backups schützen Ihren Betrieb, aber nur Prävention, wie Multi-Faktor-Authentifizierung und die Begrenzung der gespeicherten Daten, verringert die Wahrscheinlichkeit eines Lecks.

Um zu sehen, was typischerweise passiert, nachdem Informationen entwendet wurden, lesen Sie unseren Leitfaden dazu, was mit Ihren Daten nach einem Datenleck passiert, und sehen Sie sich den Uber-Freight- und Helix-Bericht als aktuelles Beispiel einer Leak-Site-Erpressungslistung an. Nehmen Sie sich dann heute zehn Minuten Zeit, um Multi-Faktor-Authentifizierung für Ihre wichtigsten Konten zu aktivieren.