Τα θύματα ransomware που πληρώνουν ελπίζοντας να εξαφανίσουν το πρόβλημα συχνά απογοητεύονται. Μια νέα παγκόσμια μελέτη, η Έκθεση Ransomware στην Εποχή της ΤΝ, εξέτασε σχεδόν 1.000 επαγγελματίες ασφαλείας σε 12 αγορές και διαπίστωσε ότι η πληρωμή λύτρων απέχει πολύ από το να αποτελεί εγγυημένη λύση. Τα ευρήματα προσδίδουν πρόσθετη βαρύτητα σε μια προειδοποίηση που οι ερευνητές ασφαλείας επαναλαμβάνουν εδώ και χρόνια: οι επαναλαμβανόμενες πληρωμές εκβιασμού μετά από ransomware είναι ένας πραγματικός και αυξανόμενος κίνδυνος, όχι μια σπάνια εξαιρετική περίπτωση.

Τι Διαπίστωσε η Έκθεση Ransomware στην Εποχή της ΤΝ

Η έρευνα παρουσιάζει μια απογοητευτική εικόνα του πώς ανταποκρίνονται οι οργανισμοί όταν χτυπηθούν από ransomware. Πάνω από τους μισούς οργανισμούς που υπέστησαν επίθεση, το 54%, κατέληξαν να πληρώσουν λύτρα σε μια προσπάθεια να αποκαταστήσουν τα ευαίσθητα δεδομένα τους. Από εκείνους που πλήρωσαν, το 56% ανέκτησε πράγματι την πρόσβαση στα αρχεία ή τα συστήματά τους. Αλλά ο πιο ανησυχητικός αριθμός είναι τι συνέβη στη συνέχεια: περισσότερο από το ένα τρίτο των θυμάτων, το 37%, έλαβε δεύτερο αίτημα εκβιασμού αφού είχε ήδη πληρώσει το πρώτο.

Αυτό το στατιστικό στοιχείο από μόνο του θα πρέπει να αναδιαμορφώσει τον τρόπο με τον οποίο οι οργανισμοί αντιμετωπίζουν την ανταπόκριση σε ransomware. Η πληρωμή δεν είναι μια εφάπαξ συναλλαγή που κλείνει το περιστατικό. Για περισσότερο από το ένα τρίτο των θυμάτων σε αυτή τη μελέτη, ήταν απλώς η εναρκτήρια κίνηση σε έναν μεγαλύτερο, πιο δαπανηρό κύκλο.

Γιατί η Πληρωμή δεν Εγγυάται Ασφάλεια ή Ανάκτηση Δεδομένων

Αξίζει να σταθούμε στα νούμερα εδώ. Ακόμη και μεταξύ των οργανισμών που πλήρωσαν, σχεδόν οι μισοί δεν ανέκτησαν πλήρως τα δεδομένα τους ούτως ή άλλως. Και ένα μεγάλο ποσοστό εκείνων που πήραν πίσω τα αρχεία τους έγιναν ξανά στόχοι, είτε από τον ίδιο δράστη που ζητούσε περισσότερα χρήματα είτε από μια διαφορετική ομάδα που είδε την πληρωμή ως απόδειξη ότι το θύμα ήταν διατεθειμένο να διαπραγματευτεί.

Αυτό το μοτίβο συνάδει με άλλες πρόσφατες έρευνες. Μια έρευνα της Proofpoint που καλύφθηκε από το vpn.social διαπίστωσε παρόμοια ότι η πληρωμή συμμοριών ransomware συχνά αποβαίνει μοιραία, με ένα σημαντικό ποσοστό των θυμάτων που πληρώνουν να αντιμετωπίζει ανανεωμένες απόπειρες εκβιασμού. Μόλις ένας οργανισμός πληρώσει, μπορεί να καταλήξει σε μια λίστα επιβεβαιωμένων πληρωτών, πληροφορία που κυκλοφορεί μεταξύ εγκληματικών ομάδων και καθιστά τον οργανισμό πιο ελκυστικό στόχο για μελλοντικές επιθέσεις, όχι λιγότερο ελκυστικό.

Επίσης, δεν υπάρχει εκτελεστή σύμβαση σε μια διαπραγμάτευση ransomware. Οι επιτιθέμενοι δεν έχουν νομικό ή φημητικό κίνητρο να τιμήσουν το δικό τους μέρος της συμφωνίας μόλις μεταφερθούν τα χρήματα. Τα κλειδιά αποκρυπτογράφησης μπορεί να είναι ελλιπή, ελαττωματικά ή να μην παραδοθούν ποτέ. Τα δεδομένα που κλάπηκαν και χρησιμοποιήθηκαν ως μοχλός πίεσης μπορούν ακόμα να πωληθούν, να διαρρεύσουν ή να κρατηθούν για δεύτερο γύρο εκβιασμού ανεξάρτητα από το τι υποσχέθηκαν.

Οι Εναλλακτικές Πρόληψης: Αντίγραφα Ασφαλείας, Κρυπτογράφηση και Τμηματοποίηση Δικτύου

Δεδομένων αυτών των πιθανοτήτων, η πιο ανθεκτική στρατηγική είναι να μειώσετε την πιθανότητα να χρειαστεί ποτέ να αποφασίσετε αν θα πληρώσετε εξαρχής. Λίγες πρακτικές εμφανίζονται σταθερά ως αποτελεσματικές άμυνες:

  • Διατηρήστε offline, δοκιμασμένα αντίγραφα ασφαλείας. Αντίγραφα ασφαλείας που είναι αποσυνδεδεμένα από το κύριο δίκτυο και δοκιμάζονται τακτικά για επαναφορά, σημαίνουν ότι ένας οργανισμός μπορεί να ανακάμψει χωρίς να διαπραγματευτεί καθόλου με τον επιτιθέμενο.
  • Κρυπτογραφήστε τα ευαίσθητα δεδομένα σε κατάσταση ηρεμίας και κατά τη μεταφορά. Ακόμη και αν οι επιτιθέμενοι εξάγουν αρχεία, η ισχυρή κρυπτογράφηση περιορίζει το τι μπορούν πραγματικά να χρησιμοποιήσουν ή να πουλήσουν, μειώνοντας τον μοχλό πίεσης πίσω από μια απειλή διαρροής δεδομένων.
  • Τμηματοποιήστε τα δίκτυα. Ο διαχωρισμός των συστημάτων σε απομονωμένες ζώνες περιορίζει το πόσο μακριά μπορεί να εξαπλωθεί το ransomware μόλις αποκτήσει αρχική πρόσβαση, περιορίζοντας τη ζημιά σε ένα μικρότερο τμήμα του οργανισμού.
  • Εφαρμόστε ενημερώσεις και παρακολούθηση με συνέπεια. Πολλές εισβολές ransomware εκμεταλλεύονται ακόμα γνωστά, μη επιδιορθωμένα τρωτά σημεία ή αδύναμα διαπιστευτήρια απομακρυσμένης πρόσβασης, οπότε η βασική υγιεινή κλείνει ένα μεγάλο μέρος των σημείων εισόδου.

Κανένα από αυτά τα μέτρα δεν καθιστά έναν οργανισμό άτρωτο σε επίθεση, αλλά όλα μαζί μειώνουν τόσο την πιθανότητα μιας επιτυχημένης παραβίασης όσο και την πίεση να πληρώσετε αν συμβεί.

Χτίζοντας Ένα Σχέδιο Ανταπόκρισης σε Περιστατικά Πριν από την Επίθεση

Οι οργανισμοί που τα πηγαίνουν καλύτερα μετά από ένα περιστατικό ransomware τείνουν να είναι αυτοί που είχαν ήδη κάνει πρόβες της ανταπόκρισής τους πριν συμβεί η επίθεση. Αυτό σημαίνει να έχουν ένα τεκμηριωμένο σχέδιο που καθορίζει ποιος παίρνει την απόφαση για το αν θα πληρώσει, ποιες νομικές επαφές και επαφές επιβολής του νόμου ειδοποιούνται, πώς χειρίζονται οι επικοινωνίες με εργαζόμενους και πελάτες, και πώς απομονώνονται και αποκαθίστανται τα συστήματα.

Η διεξαγωγή ασκήσεων προσομοίωσης επί χάρτου, όπου το προσωπικό επεξεργάζεται ένα προσομοιωμένο σενάριο επίθεσης, βοηθά να αποκαλυφθούν κενά στο σχέδιο ενώ δεν υπάρχει πραγματική πίεση. Επίσης, επιταχύνει την πραγματική ανταπόκριση όταν συμβεί ένα περιστατικό, μειώνοντας το παράθυρο έκθεσης και περιορίζοντας τον πειρασμό να πληρώσετε απλώς επειδή δεν φαίνεται να υπάρχει άλλη έτοιμη επιλογή.

Τι Σημαίνει Αυτό Για Εσάς

Για τους ηγέτες IT και τις ομάδες ασφαλείας, αυτή η έκθεση είναι μια υπενθύμιση ότι οι επαναλαμβανόμενες πληρωμές εκβιασμού μετά από ransomware είναι αρκετά συχνές ώστε να λαμβάνονται υπόψη στον σχεδιασμό, και όχι ένα σπάνιο ακραίο σενάριο. Αντιμετωπίστε την πληρωμή λύτρων ως έσχατη λύση με πραγματική πιθανότητα αποτυχίας, όχι ως αξιόπιστη ασφάλεια. Προϋπολογίστε για την πρόληψη (αντίγραφα ασφαλείας, τμηματοποίηση, παρακολούθηση) με τον ίδιο τρόπο που θα προϋπολογίζατε για οποιοδήποτε άλλο βασικό κόστος υποδομής, επειδή τα νούμερα υποδηλώνουν ότι είναι φθηνότερο μακροπρόθεσμα από τις επαναλαμβανόμενες διαπραγματεύσεις με επιτιθέμενους.

Για μεμονωμένους χρήστες και μικρότερους οργανισμούς χωρίς αφιερωμένη ομάδα ασφαλείας, οι ίδιες αρχές προσαρμόζονται σε μικρότερη κλίμακα: διατηρήστε ένα offline αντίγραφο οτιδήποτε είναι αναντικατάστατο, χρησιμοποιήστε κρυπτογράφηση όπου είναι διαθέσιμη και γνωρίστε εκ των προτέρων ποιον θα καλούσατε αν τα συστήματά σας κλειδώνονταν ποτέ.

Βασικά Συμπεράσματα

  • Το 54% των οργανισμών που συμμετείχαν στην έρευνα και υπέστησαν επίθεση ransomware πλήρωσαν τα λύτρα, αλλά μόνο το 56% των πληρωτών ανέκτησε πλήρως την πρόσβαση στα δεδομένα του.
  • Το 37% των οργανισμών που πλήρωσαν δέχθηκε δεύτερο αίτημα εκβιασμού, αποδεικνύοντας ότι η πληρωμή δεν τερματίζει τον κίνδυνο.
  • Τα offline αντίγραφα ασφαλείας, η κρυπτογράφηση και η τμηματοποίηση δικτύου μειώνουν τόσο τις πιθανότητες μιας επιτυχημένης επίθεσης όσο και την πίεση να πληρώσετε.
  • Ένα δοκιμασμένο σχέδιο ανταπόκρισης σε περιστατικά, χτισμένο πριν συμβεί μια επίθεση, συντομεύει τον χρόνο ανάκαμψης και μειώνει την εξάρτηση από πληρωμές λύτρων.
  • Οι αναγνώστες μπορούν να ανατρέξουν στα ευρήματα της έρευνας Proofpoint για επιπλέον επιβεβαιωτικά δεδομένα σχετικά με το πόσο συχνά οι πληρωμές λύτρων αποτυγχάνουν να επιλύσουν μια επίθεση.