Was die Indien-Ransomware-Daten von Proofpoint tatsächlich zeigen

Ein neuer Bericht des Sicherheitsunternehmens Proofpoint zeichnet ein beunruhigendes Bild für Organisationen in Indien, die mit Ransomware zu kämpfen haben. Die Daten zeigen, dass 62 % der betroffenen indischen Firmen einen insgesamt höheren Einfluss durch ihren jüngsten Angriff meldeten – ein Zeichen dafür, dass diese Vorfälle immer verheerender werden, nicht etwa weniger, selbst da das Bewusstsein und die Ausgaben für Verteidigung steigen. Besonders bemerkenswert ist die Bestätigung, dass die Erpressung durch Ransomware-Datendiebstahl in Indien zur Norm statt zur Ausnahme geworden ist: In 71 % der von Proofpoint untersuchten Vorfälle wurde Datendiebstahl bestätigt.

Diese Statistik verändert das, was viele Unternehmen immer noch als reines Ransomware-Problem betrachten. Es geht nicht mehr nur um verschlüsselte Dateien und eine Lösegeldforderung. In der überwiegenden Mehrheit der untersuchten Fälle hatten die Angreifer bereits sensible Daten exfiltriert, bevor sie die Systeme sperrten, was ihnen eine zweite Druckmöglichkeit verschafft, selbst wenn die Backups des Opfers solide genug sind, um die Zahlung für einen Entschlüsselungschlüssel zu vermeiden.

Warum das Zahlen der Lösegeldforderung wiederholte Erpressung nicht verhindert

Trotz weit verbreiteter Empfehlungen von Strafverfolgungsbehörden und Sicherheitsexperten, keine Lösegeldforderungen zu begleichen, zahlten 64 % der betroffenen indischen Organisationen trotzdem. Der Instinkt ist verständlich: Eine Zahlung erscheint wie der schnellste Weg zurück zum normalen Betrieb. Doch die Ergebnisse von Proofpoint deuten darauf hin, dass dieser Instinkt zunehmend fehl am Platz ist. Nahezu die Hälfte derjenigen, die zahlten – 48 % – sahen sich danach mit weiteren Erpressungsforderungen konfrontiert.

Dieses Muster ist nicht auf Indien beschränkt. Es spiegelt wider, was Proofpoint weltweit dokumentiert hat: Ransomware-Zahler werden oft erneut getroffen, und eine Zahlung wirkt weniger wie eine Lösung, sondern eher wie ein Signal an die Angreifer, dass das Ziel verhandlungsbereit ist. Weitere Proofpoint-Untersuchungen haben ergeben, dass 22 % der Lösegeldzahler mit wiederholter Erpressung konfrontiert sind, während andere Daten darauf hindeuten, dass etwa jeder dritte Ransomware-Zahler erneut getroffen wird. Indiens Zahl von 48 % wiederholter Erpressung liegt am oberen Ende dieser Spanne, was vermuten lässt, dass Unternehmen dort eine noch extremere Version desselben globalen Trends erleben.

Die 71-%-Datendiebstahl-Rate: Was Angreifer stehlen, bevor sie verschlüsseln

Der Grund, warum wiederholte Erpressung für Angreifer so gut funktioniert, ist einfach: Sobald Daten gestohlen wurden, ist die Verschlüsselung fast nebensächlich. Wenn bereits 71 % der Vorfälle einen bestätigten Datendiebstahl beinhalten, dann ändert die Zahlung für einen Entschlüsselungschlüssel nichts an der Kopie sensibler Dateien, die sich auf der Infrastruktur der Angreifer befinden. Diese Daten können verkauft, durchgesickert oder als neue Druckmittel für eine zweite oder dritte Forderung genutzt werden – was erklärt, warum so viele Unternehmen, die einmal gezahlt haben, schließlich erneut zahlen mussten oder selbst nach der ersten Zahlung neuen Bedrohungen gegenüberstanden.

Das ist der grundlegende Wandel, der moderne Ransomware von den dateisperrenden Angriffen vergangener Jahre unterscheidet. Verschlüsselung stört den Betrieb kurzfristig, aber Datendiebstahl schafft eine langfristige Haftung, die sich mit einer einmaligen Zahlung nicht auflösen lässt. Für Unternehmen, die mit Kundendaten, Finanzinformationen oder proprietären Geschäftsdaten umgehen, endet die Offenlegung nicht, wenn die Systeme wieder online sind.

Reduzierung der Angriffsfläche: Netzwerksegmentierung, Backups und Zugriffskontrollen

Die praktische Reaktion auf diesen Wandel muss über die einfache Entscheidung, ob gezahlt wird, hinausgehen. Einige konkrete Schritte sind wichtiger denn je:

  • Netzwerksegmentierung begrenzt, wie weit ein Angreifer sich nach einem Eindringen bewegen kann, und verringert so die Wahrscheinlichkeit, dass ein einziges kompromittiertes Konto zu einer unternehmensweiten Datenoffenlegung führt.
  • Offline-Backups, die getestet wurden, bleiben für die Wiederherstellung nach einer Verschlüsselung unerlässlich, aber sie lösen das Problem des Datendiebstahls nicht; daher sollten sie mit einer Überwachung auf ungewöhnliche ausgehende Datenübertragungen kombiniert werden.
  • Strenge Zugriffskontrollen und das Prinzip der geringsten Privilegien reduzieren die Menge sensibler Daten, die ein einzelner kompromittierter Zugangsberechtigter erreichen kann.
  • Vorfallsreaktionsplanung sollte davon ausgehen, dass Daten bereits kopiert wurden, und nicht nur, dass Systeme gesperrt sein könnten, und sollte einen Kommunikationsplan für Kunden und Aufsichtsbehörden umfassen, falls eine Datenoffenlegung bestätigt wird.

Unternehmen, die ihre Verteidigung nach diesen Prinzipien aufbauen, gehen davon aus, dass Prävention allein nicht immer erfolgreich sein wird, und dass die Begrenzung des Explosionsradius eines Eindringens genauso wichtig ist, wie Angreifer überhaupt fernzuhalten.

Was das für Sie bedeutet

Wenn Ihr Unternehmen in Indien tätig ist oder Daten verarbeitet, die mit indischen Kunden oder Partnern verbunden sind, ist dieser Bericht ein Signal, Ihre Vorfallsreaktionspläne mit einer bestimmten Frage im Hinterkopf zu überdenken: Was passiert, nachdem wir feststellen, dass Daten bereits gestohlen wurden, und nicht nur, nachdem Dateien verschlüsselt wurden? Ransomware nur als Verfügbarkeitsproblem zu behandeln, das durch Backups und eine mögliche Zahlung gelöst werden kann, entspricht nicht mehr dem tatsächlichen Ablauf dieser Angriffe. Das in den Proofpoint-Daten beschriebene Muster der Erpressung durch indische Ransomware-Datendiebstähle zeigt, dass der Moment der Verschlüsselung oft nur eine Etappe in einer längeren Kampagne ist.

Wichtige Erkenntnisse

  • Gehen Sie bei jedem Ransomware-Vorfall von einem Datendiebstahl aus; warten Sie nicht auf eine Bestätigung, bevor Sie entsprechend handeln.
  • Betrachten Sie eine Lösegeldzahlung als geschäftliche Entscheidung mit einem echten Risiko wiederholter Erpressung und nicht als garantierte Lösung – ein Muster, das mit anderen Proofpoint-Forschungen zur wiederholten Erpressung übereinstimmt, die über Märkte hinweg dokumentiert wurden.
  • Investieren Sie jetzt in Segmentierung und Zugriffskontrollen, da diese den Schaden unabhängig davon begrenzen, wie ein Angreifer hereinkommt.
  • Entwickeln Sie einen Kommunikationsplan für Datenpannen parallel zu Ihrem Ransomware-Wiederherstellungsplan, da beides zunehmend ein und dasselbe Ereignis ist.

Wie umfassendere Branchendaten zu Ransomware-Zahlungen weiterhin zeigen, ist die Erfahrung Indiens kein Ausreißer. Sie ist ein lokales Spiegelbild eines globalen Wandels hin zu mehrstufiger Erpressung, und Unternehmen, die jetzt dafür planen, werden weit besser aufgestellt sein als diejenigen, die immer noch hoffen, dass eine einzige Zahlung das Problem verschwinden lässt.