Η πληρωμή μιας συμμορίας ransomware δεν αποτέλεσε ποτέ εγγύηση ασφάλειας, αλλά νέα έρευνα αποτυπώνει με σαφήνεια πόσο συχνά αυτό το στοίχημα αποτυγχάνει. Σύμφωνα με πρόσφατα ευρήματα, το 58% των οργανισμών του Ηνωμένου Βασιλείου που επλήγησαν από ransomware πλήρωσαν τα απαιτούμενα λύτρα και το 22% αυτών των πληρωτών δέχθηκαν ξανά επίθεση με δεύτερη απόπειρα εκβιασμού. Το μήνυμα για τις ομάδες πληροφορικής και για όλους όσων τα προσωπικά δεδομένα περνούν μέσα από εταιρικά δίκτυα είναι ότι η παλιά τακτική «πλήρωσε και προχώρα» δεν ισχύει πλέον.

Η νέα πραγματικότητα: Η πληρωμή δεν τερματίζει την επίθεση

Το ransomware ακολουθούσε κάποτε ένα αρκετά προβλέψιμο σενάριο: οι επιτιθέμενοι κρυπτογραφούν τα αρχεία σας, εσείς πληρώνετε, παίρνετε ένα κλειδί αποκρυπτογράφησης και το περιστατικό κλείνει. Αυτό το σενάριο έχει ξαναγραφτεί. Η στροφή προς τον διπλό εκβιασμό, όπου οι επιτιθέμενοι κλέβουν δεδομένα πριν τα κρυπτογραφήσουν και απειλούν να τα διαρρεύσουν ανεξάρτητα από την πληρωμή, σημαίνει ότι μια συναλλαγή λύτρων δεν διευθετεί τίποτα. Το ποσοστό 22% που δείχνει επαναλαμβανόμενο εκβιασμό σε βάρος οργανισμών που ήδη πλήρωσαν επιβεβαιώνει αυτό για το οποίο πολλοί ερευνητές ασφάλειας προειδοποιούσαν εδώ και χρόνια: από τη στιγμή που τα δεδομένα σας βγαίνουν έξω, δεν έχετε κανέναν πραγματικό έλεγχο για το τι θα συμβεί στη συνέχεια. Μια εγκληματική ομάδα που έχει πληρωθεί μία φορά έχει κάθε κίνητρο να επιστρέψει, είτε πρόκειται για τον ίδιο δράστη είτε για διαφορετικό που ενεργεί με βάση μεταπωλούμενη πρόσβαση.

Για τους διαχειριστές Windows ειδικά, αυτό αλλάζει τον υπολογισμό γύρω από την αντιμετώπιση περιστατικών. Η επαναφορά από αντίγραφα ασφαλείας αντιμετωπιζόταν ως η εναλλακτική λύση αντί της πληρωμής. Τώρα πρέπει να αντιμετωπίζεται ως η βασική προσδοκία, διότι η πληρωμή δεν σταματά αξιόπιστα τη διαρροή στην πλευρά της κλοπής δεδομένων. Δοκιμασμένα, απομονωμένα αντίγραφα ασφαλείας, ισχυροί έλεγχοι ασφάλειας ταυτότητας και ένα τεκμηριωμένο σχέδιο αποκατάστασης είναι αυτά που πραγματικά σπάνε τον κύκλο, όχι μια τραπεζική μεταφορά σε ένα ανώνυμο πορτοφόλι.

Η τεχνητή νοημοσύνη ενισχύει την αρχική παραβίαση

Το άλλο κύριο θέμα αυτής της έρευνας είναι ο αυξανόμενος ρόλος της τεχνητής νοημοσύνης στα αρχικά στάδια μιας επίθεσης. Η αρχική παραβίαση, η στιγμή που οι επιτιθέμενοι αποκτούν για πρώτη φορά πρόσβαση σε ένα δίκτυο, είναι το σημείο όπου τα εργαλεία Τεχνητής Νοημοσύνης φέρεται να έχουν τον μεγαλύτερο αντίκτυπο. Ταχύτερη αναγνώριση, πιο πειστικά δολώματα phishing και ταχύτερη αναγνώριση εκμεταλλεύσιμων αδυναμιών μειώνουν το παράθυρο που έχουν οι αμυνόμενοι για να αντιληφθούν ότι κάτι δεν πάει καλά πριν προκληθεί ζημιά.

Αυτό έχει σημασία επειδή οι περισσότερες άμυνες κατά του ransomware εξακολουθούν να βασίζονται στην παραδοχή ότι οι επιτιθέμενοι χρειάζονται χρόνο για να κινηθούν μέσα σε ένα δίκτυο πριν προκαλέσουν σοβαρή βλάβη. Εάν η ΤΝ συμπιέζει αυτό το χρονοδιάγραμμα, οι οργανισμοί που βασίζονται αποκλειστικά σε περιοδικούς κύκλους επιδιόρθωσης και μη αυτόματη παρακολούθηση είναι ολοένα και πιο εκτεθειμένοι. Αυτό ενισχύει το γιατί η ασφάλεια ταυτότητας, πράγματα όπως ο έλεγχος ταυτότητας πολλαπλών παραγόντων, η διαχείριση προνομιακής πρόσβασης και η ταχεία ανίχνευση ανωμαλιών, έχει γίνει εξίσου σημαντική με την προστασία των τελικών σημείων.

Γιατί η κλοπή δεδομένων είναι η πραγματική ιστορία ιδιωτικότητας

Ενώ τα κρυπτογραφημένα αρχεία μονοπωλούν τα πρωτοσέλιδα, το μοντέλο του διπλού εκβιασμού φέρνει στο προσκήνιο κάτι που έχει μεγαλύτερη σημασία για τους καθημερινούς ανθρώπους: τα ίδια τα δεδομένα. Κάθε περιστατικό ransomware που αφορά κλεμμένα αρχεία ανθρώπινου δυναμικού, βάσεις δεδομένων πελατών ή αρχεία εργαζομένων είναι, στον πυρήνα του, ένα περιστατικό παραβίασης ιδιωτικότητας. Σκεφτείτε πώς η παραβίαση του συστήματος HR της Στατιστικής Υπηρεσίας της Νότιας Αφρικής εξέθεσε δεδομένα εργαζομένων, μια περίπτωση που δείχνει πώς τα εσωτερικά συστήματα που περιέχουν ευαίσθητες προσωπικές πληροφορίες μπορούν να γίνουν ο πραγματικός στόχος και όχι απλώς παράπλευρη απώλεια από μια ευρύτερη επίθεση. Όταν οι ομάδες ransomware εξάγουν αυτού του είδους τα δεδομένα πριν κλειδώσουν τα συστήματα, η πληρωμή των λύτρων δεν αναιρεί το γεγονός ότι ονόματα, μισθοί, διευθύνσεις ή στοιχεία υγείας μπορεί να βρίσκονται ήδη σε έναν εγκληματικό διακομιστή ή να πωλούνται ήδη.

Αυτό είναι το κομμάτι που συχνά λείπει από την αμιγώς τεχνική κάλυψη του ransomware: η δεύτερη απόπειρα εκβιασμού δεν είναι απλώς ένας εταιρικός πονοκέφαλος, είναι ένα δεύτερο κύμα έκθεσης για τα άτομα των οποίων τα δεδομένα κλάπηκαν εξαρχής. Οι εργαζόμενοι, οι πελάτες και οι ασθενείς σπάνια έχουν λόγο για το αν ο οργανισμός τους θα πληρώσει, ωστόσο φέρουν τον συνεχιζόμενο κίνδυνο κλοπής ταυτότητας, στοχευμένου phishing ή απάτης για πολύ καιρό μετά την υποχώρηση των πρωτοσέλιδων.

Τι σημαίνει αυτό για εσάς

Εάν εργάζεστε στην πληροφορική ή στην ασφάλεια, αυτά τα δεδομένα αποτελούν ένα σαφές μήνυμα να σταματήσετε να αντιμετωπίζετε την πληρωμή λύτρων ως επίλυση και να αρχίσετε να την αντιμετωπίζετε ως ύστατη εφεδρική λύση. Τα σχέδια αποκατάστασης, τα αμετάβλητα αντίγραφα ασφαλείας και οι άμυνες που εστιάζουν στην ταυτότητα αξίζουν περισσότερο προϋπολογισμό και χρόνο δοκιμών από ό,τι συνήθως λαμβάνουν. Εάν είστε εργαζόμενος ή πελάτης ενός οργανισμού που έχει γνωστοποιήσει ένα περιστατικό ransomware, υποθέστε ότι τα δεδομένα σας μπορεί να έχουν αντιγραφεί ακόμα κι αν σας πουν ότι τα συστήματα «αποκαταστάθηκαν». Παρακολουθείτε τους λογαριασμούς σας, προσέχετε για απόπειρες phishing που αναφέρονται στην παραβίαση και σκεφτείτε την παρακολούθηση πιστώσεων εάν εμπλέκονται ευαίσθητα προσωπικά ή οικονομικά δεδομένα.

Πρακτικά συμπεράσματα

Οι οργανισμοί θα πρέπει να ελέγχουν τακτικά την ακεραιότητα των αντιγράφων ασφαλείας και να επαληθεύουν ότι τα αντίγραφα είναι πραγματικά απομονωμένα από το δίκτυο παραγωγής. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων και η πρόσβαση ελάχιστων προνομίων θα πρέπει να είναι αδιαπραγμάτευτα σε όλα τα συστήματα, όχι μόνο στα κρίσιμα. Τα σχέδια αντιμετώπισης περιστατικών πρέπει να αντιμετωπίζουν ρητά το σενάριο του διπλού εκβιασμού, συμπεριλαμβανομένων νομικών και επικοινωνιακών βημάτων για όταν κλαπέντα δεδομένα εμφανιστούν δημόσια. Τα άτομα που επηρεάζονται από οποιαδήποτε γνωστοποίηση ransomware θα πρέπει να αλλάζουν κωδικούς πρόσβασης, να ενεργοποιούν τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου είναι διαθέσιμος και να παραμένουν σε εγρήγορση για επακόλουθες απάτες. Τα δεδομένα είναι σαφή: ο δεύτερος εκβιασμός από ransomware δεν αποτελεί πλέον σπάνια εξαίρεση, γίνεται τυπικό μέρος του κύκλου ζωής της επίθεσης και η προετοιμασία είναι η μόνη πραγματική άμυνα.