Η διαπραγμάτευση ransomware παλαιότερα παρέπεμπε σε εικόνες ενός μεμονωμένου χειριστή πίσω από ένα πληκτρολόγιο, που περιμένει το θύμα να επικοινωνήσει. Σύμφωνα με νέα ευρήματα της εταιρείας πληροφοριών απειλών Intel 471, αυτή η εικόνα είναι ξεπερασμένη. Οι ομάδες ransomware αντιμετωπίζουν πλέον τη διαπραγμάτευση ως μια στελεχωμένη επιχειρηματική διαδικασία, με έρευνα για τα έσοδα και την ασφαλιστική κάλυψη του θύματος προτού καν αναφερθεί ένα ποσό λύτρων. Για τους οργανισμούς μεσαίας αγοράς, οι επιπτώσεις υπερβαίνουν κατά πολύ το μέγεθος μιας επιστολής απαίτησης.

Η διαπραγμάτευση ransomware έχει γίνει μια δομημένη λειτουργία

Η έρευνα της Intel 471 περιγράφει μια στροφή όπου τα ποσά λύτρων δεν είναι πλέον αυθαίρετοι αριθμοί από μια λίστα στόχων "μεγάλων εταιρειών". Αντίθετα, οι επιτιθέμενοι φαίνεται να διενεργούν σκόπιμη δέουσα επιμέλεια, συλλέγοντας πληροφορίες για την οικονομική κατάσταση του θύματος και το ασφαλιστήριο κυβερνοασφάλισης προτού καθορίσουν μια τιμή. Αυτό αντικατοπτρίζει μια ευρύτερη τάση που έχει καταγραφεί στο οικοσύστημα ransomware, όπου οι επιχειρήσεις ολοένα και περισσότερο μοιάζουν με εμπορικές επιχειρήσεις με καθορισμένους ρόλους, από τους μεσίτες πρόσβασης έως τους διαπραγματευτές. Ρεπορτάζ για το ransomware ως επιχειρηματικό μοντέλο έχει ήδη παρακολουθήσει πώς οι ομάδες ransomware-as-a-service έχουν επαγγελματοποιήσει σχεδόν κάθε στάδιο μιας επίθεσης, και η διαπραγμάτευση φαίνεται πλέον να είναι η τελευταία λειτουργία που λαμβάνει αυτή τη μεταχείριση.

Το πρακτικό αποτέλεσμα είναι ότι οι απαιτήσεις λύτρων μπορούν να βαθμονομηθούν σύμφωνα με όσα μπορεί εύλογα να πληρώσει ένας συγκεκριμένος οργανισμός, αντί για ένα ενιαίο ποσοστό του κλάδου. Μια εταιρεία με διαθέσιμη μεγάλη ασφαλιστική αποζημίωση μπορεί να αντιμετωπίσει υψηλότερο αρχικό ποσό από ό,τι μια χωρίς κάλυψη. Αυτή η βαθμονόμηση απαιτεί έρευνα, και η έρευνα απαιτεί δεδομένα, γεγονός που εγείρει ζητήματα ιδιωτικότητας.

Γιατί αυτό έχει σημασία για την ιδιωτικότητα, όχι μόνο για τα οικονομικά

Επιφανειακά, αυτό μοιάζει με μια οικονομική και επιχειρησιακή ιστορία: ομάδες ransomware μεγιστοποιούν τη μόχλευσή τους κατανοώντας την ικανότητα πληρωμής του θύματος. Αλλά οι υποκείμενοι μηχανισμοί έχουν πραγματικές επιπτώσεις στην ιδιωτικότητα. Για να αξιολογήσουν τα έσοδα και την ασφαλιστική κατάσταση, οι επιτιθέμενοι πρέπει να συλλέξουν πληροφορίες για μια εταιρεία πριν ή κατά τη διάρκεια της διείσδυσης, συχνά από τα ίδια τα συστήματα και αρχεία που παραβιάζουν. Αυτό σημαίνει ότι οικονομικά αρχεία, αλληλογραφία με ασφαλιστικές και εσωτερικές επικοινωνίες γίνονται μέρος της αναγνώρισης που χρησιμοποιούν οι επιτιθέμενοι εναντίον του οργανισμού, όχι απλώς δεδομένα που ενδέχεται αργότερα να διαρρεύσουν.

Αυτό επίσης διασταυρώνεται με τακτικές που ήδη αναδιαμορφώνουν το τοπίο του εκβιασμού. Έχει τεκμηριωθεί ότι ομάδες δίνουν στα θύματα όλο και πιο σύντομα χρονικά περιθώρια ανταπόκρισης, μια τακτική πίεσης που εξετάζεται σε ρεπορτάζ για το γιατί οι συμμορίες ransomware δίνουν πλέον στα θύματα μόλις επτά ημέρες για να λάβουν απόφαση. Όταν μια διαπραγματευτική ομάδα γνωρίζει ήδη τι μπορεί να αντέξει οικονομικά ένα θύμα και πόσο γρήγορα πρέπει να επιλύσει το περιστατικό, αυτό το συμπιεσμένο χρονοδιάγραμμα γίνεται εργαλείο για την αποκόμιση μέγιστης πληρωμής αντί για παράπλευρο προϊόν της εγκληματικής ανυπομονησίας. Ξεχωριστά, η κάλυψη του κρυφού κόστους του εκβιασμού που βασίζεται στην τεχνητή νοημοσύνη έχει δείξει ότι το ίδιο το ποσό των λύτρων είναι συχνά μόνο ένα στοιχείο στη συνολική ζημία που απορροφά ένα θύμα, μαζί με τη νομική έκθεση, τις ρυθμιστικές κοινοποιήσεις και τη βλάβη στη φήμη.

Τι σημαίνει αυτό για εσάς

Ειδικά για τους οργανισμούς μεσαίας αγοράς, το μοντέλο της ερευνημένης διαπραγμάτευσης αλλάζει τον υπολογισμό γύρω από την ετοιμότητα αντιμετώπισης περιστατικών. Πολλές μεσαίου μεγέθους εταιρείες υποθέτουν ότι οι ομάδες ransomware τις στοχεύουν ευκαιριακά και αντιμετωπίζουν κάθε θύμα με τον ίδιο τρόπο. Τα ευρήματα της Intel 471 υποδηλώνουν το αντίθετο: αν οι επιτιθέμενοι δημιουργούν προφίλ εσόδων και ασφαλιστικής κατάστασης προτού καθορίσουν μια τιμή, οι εταιρείες μεσαίας αγοράς με ορατή ασφαλιστική κάλυψη ή δημόσιες οικονομικές γνωστοποιήσεις μπορεί να αξιολογούνται εξίσου προσεκτικά όσο και οι μεγαλύτερες επιχειρήσεις, ακόμη και αν η τελική απαίτηση είναι μειωμένη.

Αυτό έχει επίσης επιπτώσεις σε επίπεδο πολιτικής. Καθώς η διαπραγμάτευση γίνεται πιο υπολογισμένη από την πλευρά του επιτιθέμενου, ορισμένες κυβερνήσεις έχουν αρχίσει να σταθμίζουν αν τα θύματα θα πρέπει να επιτρέπεται να διαπραγματεύονται ή να πληρώνουν καθόλου. Οι συνεχιζόμενες συζητήσεις που καλύπτονται σε ρεπορτάζ για κυβερνήσεις που εξετάζουν απαγορεύσεις πληρωμών ransomware αντικατοπτρίζουν μια αυξανόμενη αναγνώριση ότι η ίδια η διαδικασία διαπραγμάτευσης έχει γίνει αρκετά εξελιγμένη ώστε να απαιτεί ρυθμιστική προσοχή, όχι μόνο τεχνική άμυνα.

Πρακτικά συμπεράσματα

Οι οργανισμοί, ιδιαίτερα οι επιχειρήσεις μεσαίας αγοράς που μπορεί να πιστεύουν ότι περνούν απαρατήρητες, θα πρέπει να αντιμετωπίσουν αυτή τη στροφή ως λόγο να επανεξετάσουν τον σχεδιασμό αντιμετώπισης περιστατικών τώρα, προτού συμβεί ένα περιστατικό. Μερικά συγκεκριμένα βήματα μπορούν να βοηθήσουν:

  • Ελέγξτε ποιος έχει πρόσβαση σε οικονομικά αρχεία και ασφαλιστική τεκμηρίωση εσωτερικά, και περιορίστε την έκθεση αυτών των πληροφοριών σε κοινόχρηστους δίσκους ή συστήματα εύκολα προσβάσιμα.
  • Δημιουργήστε ένα σχέδιο διαπραγμάτευσης ransomware εκ των προτέρων.
  • Βεβαιωθείτε ότι οι λεπτομέρειες κυβερνοασφάλισης αποθηκεύονται με ασφάλεια και δεν μπορούν να ανακαλυφθούν εύκολα από έναν εισβολέα στα πρώτα στάδια μιας παραβίασης.
  • Διεξάγετε ασκήσεις επιτραπέζιων προσομοιώσεων που υποθέτουν ότι οι επιτιθέμενοι γνωρίζουν ήδη τα έσοδα και τα όρια κάλυψής σας, όχι μόνο ότι έχουν κρυπτογραφήσει τα αρχεία σας.
  • Μείνετε ενημερωμένοι για τις εξελισσόμενες πρακτικές διαπραγμάτευσης ransomware, καθώς οι τακτικές συνεχίζουν να αλλάζουν όσο οι επιτιθέμενοι επαγγελματοποιούν τις επιχειρήσεις τους.

Η διαπραγμάτευση ransomware δεν είναι πλέον ένας αυτοσχέδιος διάλογος μεταξύ ενός θύματος και ενός ανώνυμου επιτιθέμενου. Είναι μια στελεχωμένη, ερευνημένη επιχειρηματική διαδικασία, και οι οργανισμοί που κατανοούν αυτή τη στροφή είναι σε καλύτερη θέση να ανταποκριθούν ήρεμα και αποτελεσματικά όταν βρεθούν στην άλλη πλευρά του τραπεζιού.