Πάνω από 50 Παραβιάσεις Ransomware Αποκαλύπτουν ένα Νέο Εγχειρίδιο Κλοπής Δεδομένων

Ένας Κατάλογος με Πάνω από 50 Επιθέσεις Ransomware Δείχνει ότι το Μοντέλο Αλλάζει

Μια νέα συλλογή παραδειγμάτων επιθέσεων ransomware, που καλύπτει δεκάδες μεγάλες παραβιάσεις και το οικονομικό τους κόστος, παρουσιάζει κάτι που αξίζει προσοχής πέρα από τους ωμούς αριθμούς: οι μηχανισμοί αυτών των επιθέσεων εξελίσσονται με τρόπους που θέτουν τα προσωπικά δεδομένα σε μεγαλύτερο κίνδυνο από ό,τι έκανε ποτέ η απλή κρυπτογράφηση.

Η κλασική εκδοχή του ransomware, που συχνά αποκαλείται κρυπτο-ransomware, λειτουργεί ακριβώς όπως το φαντάζονται οι περισσότεροι. Κακόβουλος κώδικας εισχωρεί σε ένα δίκτυο και κρυπτογραφεί αρχεία χρησιμοποιώντας ισχυρούς αλγόριθμους, συνήθως AES-256 για το κλείδωμα των ίδιων των δεδομένων και RSA-2048 για την προστασία του κλειδιού κρυπτογράφησης. Μόλις ολοκληρωθεί αυτή η διαδικασία, τα αρχεία είναι ουσιαστικά ανακτήσιμα μόνο με το ιδιωτικό κλειδί του επιτιθέμενου. Στα θύματα εμφανίζεται στη συνέχεια ένα σημείωμα λύτρων που απαιτεί πληρωμή, συνήθως σε Bitcoin ή Monero, συχνά συνοδευόμενο από αντίστροφη μέτρηση και απειλή ότι το κλειδί θα καταστραφεί αν περάσει η προθεσμία.

Αυτό το μοντέλο έχτισε τη φήμη που έχει σήμερα το ransomware: ένα νοσοκομείο αποκλεισμένο, μια παραλυμένη δημοτική κυβέρνηση, ένας κατασκευαστής ανίκανος να αποστείλει προϊόντα. Αλλά ο κατάλογος των παραδειγμάτων δείχνει μια δεύτερη, πιο ήσυχη τακτική που κερδίζει έδαφος παράλληλα, η οποία δεν βασίζεται καθόλου στην κρυπτογράφηση.

Ο Εκβιασμός μέσω Κλοπής Δεδομένων Δεν Χρειάζεται να Κλειδώσει Ούτε Ένα Αρχείο

Αντί να ανακατεύουν αρχεία, ορισμένοι επιτιθέμενοι απλώς αντιγράφουν ευαίσθητα δεδομένα από ένα δίκτυο πριν το προσέξει κανείς, και στη συνέχεια απειλούν να τα δημοσιεύσουν ή να τα πουλήσουν εκτός αν γίνει πληρωμή. Δεν υπάρχει αντίστροφη μέτρηση σε μια παγωμένη οθόνη, ούτε τμήμα Πληροφορικής να τρέχει για να επαναφέρει από αντίγραφα ασφαλείας. Η μόχλευση δεν είναι η διακοπή λειτουργίας, είναι η έκθεση.

Αυτή η διάκριση έχει σημασία για όποιον σκέφτεται τη δική του ιδιωτικότητα, όχι μόνο για οργανισμούς που διαχειρίζονται προϋπολογισμούς ασφαλείας. Το ransomware που βασίζεται στην κρυπτογράφηση είναι, στον πυρήνα του, ένα πρόβλημα διαθεσιμότητας: τα δεδομένα σας εξακολουθούν να υπάρχουν, απλώς δεν μπορείτε να τα προσπελάσετε μέχρι να αποκατασταθούν ή να πληρωθούν τα λύτρα. Ο εκβιασμός μέσω κλοπής δεδομένων είναι ένα πρόβλημα εμπιστευτικότητας: οι πληροφορίες έχουν ήδη φύγει, βρίσκονται ήδη στον διακομιστή του επιτιθέμενου, και καμία πληρωμή λύτρων δεν μπορεί να το αναιρέσει. Ακόμη και οργανισμοί με αξιόπιστα αντίγραφα ασφαλείας και γρήγορα σχέδια ανάκαμψης δεν έχουν πραγματική απάντηση σε μια απειλή που χτίζεται εξ ολοκλήρου γύρω από την έκθεση. Ομάδες που λειτουργούν υπηρεσίες ransomware-as-a-service, όπως αυτές που περιγράφονται λεπτομερώς στην κάλυψη του LockBit 5.0 και των επιχειρήσεών του μετά την Επιχείρηση Cronos, έχουν υιοθετήσει ακριβώς αυτή τη διττή προσέγγιση απειλής: κρυπτογραφήστε ό,τι μπορείτε, κλέψτε ό,τι δεν μπορείτε, και εκβιάστε και στα δύο μέτωπα.

Γιατί η Απαίτηση Λύτρων Είναι Μόνο Μέρος της Ιστορίας

Η κάλυψη των επιθέσεων ransomware από τα μέσα ενημέρωσης τείνει να επικεντρώνεται στο ποσό των λύτρων, και είναι εύκολο να καταλάβει κανείς γιατί: ένα συγκεκριμένο χρηματικό ποσό είναι ένας καθαρός τίτλος. Αλλά το οικονομικό κόστος μιας επίθεσης συχνά αντικατοπτρίζει μόνο την πλευρά της ανταπόκρισης· αντιμετώπιση περιστατικών, διακοπή λειτουργίας, νομικά έξοδα, ρυθμιστικά πρόστιμα και η πληρωμή λύτρων αν γίνει. Αυτό που δεν αποτυπώνει αυτό το ποσό είναι οι επιπτώσεις στην ιδιωτικότητα για τους ανθρώπους των οποίων τα δεδομένα βρίσκονταν σε εκείνο το σύστημα: ασθενείς των οποίων οι ιατρικοί φάκελοι εκτέθηκαν, πελάτες των οποίων τα στοιχεία πληρωμής αντιγράφηκαν, υπάλληλοι των οποίων τα προσωπικά δεδομένα βρίσκονταν σε μια βάση δεδομένων ανθρώπινου δυναμικού που εξήχθη παράνομα.

Αυτή είναι η πραγματική επίπτωση στην ιδιωτικότητα που είναι θαμμένη μέσα σε αυτούς τους καταλόγους παραβιάσεων. Μια εταιρεία μπορεί να ανακτήσει τα συστήματά της, να πληρώσει τα πρόστιμά της και να προχωρήσει. Το άτομο του οποίου τα δεδομένα κλάπηκαν δεν έχει την ίδια καθαρή ανάκαμψη. Οι πληροφορίες του μπορούν να κυκλοφορούν επ' αόριστον μόλις βγουν από το αρχικό δίκτυο, εμφανιζόμενες σε λίστες credential-stuffing, καμπάνιες phishing ή απόπειρες κλοπής ταυτότητας πολύ καιρό αφού η αρχική επίθεση έχει ξεθωριάσει από τις ειδήσεις.

Τι Σημαίνει Αυτό για Εσάς

Αν είστε καταναλωτής, το συμπέρασμα δεν είναι ότι πρέπει να υπερασπιστείτε προσωπικά απέναντι στο ransomware, αυτό είναι οργανωτικό πρόβλημα για τις εταιρείες που κατέχουν τα δεδομένα σας. Αλλά η στροφή προς τον εκβιασμό μέσω κλοπής δεδομένων σημαίνει ότι οι ειδοποιήσεις παραβίασης αξίζουν περισσότερη προσοχή από όση συνήθως λαμβάνουν, ακόμη και όταν μια εταιρεία λέει ότι δεν πληρώθηκαν λύτρα ή ότι τα συστήματα δεν διαταράχθηκαν. «Τίποτα δεν κρυπτογραφήθηκε» δεν σημαίνει πλέον «τίποτα δεν κλάπηκε».

Αν εργάζεστε στην Πληροφορική ή στην ασφάλεια, το μάθημα από αυτά τα 50+ παραδείγματα είναι ότι η στρατηγική αντιγράφων ασφαλείας από μόνη της δεν επαρκεί πλέον. Ο σχεδιασμός αποκατάστασης πρέπει να λαμβάνει υπόψη την έκθεση, όχι μόνο τη διακοπή λειτουργίας, που σημαίνει κρυπτογράφηση ευαίσθητων δεδομένων σε κατάσταση ηρεμίας, περιορισμό του τι μπορεί να προσπελάσει ένας μεμονωμένος παραβιασμένος λογαριασμός και αντιμετώπιση της ανίχνευσης εξαγωγής δεδομένων με την ίδια σοβαρότητα με την ίδια την ανίχνευση ransomware.

Πρακτικά Βήματα που Αξίζει να Κάνετε

Μερικές συνήθειες κάνουν μεγάλη διαφορά ανεξάρτητα από το σε ποια πλευρά μιας παραβίασης βρίσκεστε. Τα άτομα θα πρέπει να παρακολουθούν τις ειδοποιήσεις παραβίασης που σχετίζονται με τις υπηρεσίες που χρησιμοποιούν, να ενεργοποιούν τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου προσφέρεται και να αντιμετωπίζουν με καχυποψία ανεπιθύμητα μηνύματα που αναφέρονται σε στοιχεία λογαριασμού, καθώς τα κλεμμένα δεδομένα συχνά τροφοδοτούν επακόλουθο phishing. Οι οργανισμοί θα πρέπει να υποθέτουν ότι οποιαδήποτε επιτυχημένη εισβολή μπορεί να περιλαμβάνει κλοπή δεδομένων ακόμη και απουσία ορατού σημειώματος λύτρων, και να χτίζουν σχέδια ανταπόκρισης που αντιμετωπίζουν τη γνωστοποίηση και την προστασία των πελατών, όχι μόνο την αποκατάσταση συστημάτων.

Η εξέλιξη του ransomware από μια καθαρά απειλή κρυπτογράφησης σε μια ευρύτερη οικονομία εκβιασμού είναι μια υπενθύμιση ότι η μάχη δεν αφορά μόνο τη διατήρηση των συστημάτων σε λειτουργία. Αφορά τη διατήρηση των πληροφοριών ιδιωτικών εξ αρχής, και αυτή είναι μια ευθύνη που εκτείνεται πολύ πέρα από τη στιγμή που εμφανίζεται ένα σημείωμα λύτρων στην οθόνη.