Έκθεση για Ransomware: Το 37% των Πληρωτών Αντιμετωπίζει Επαναλαμβανόμενες Απαιτήσεις

Το Πραγματικό Κέρδος του Ransomware Δεν Είναι η Κρυπτογράφηση

Για χρόνια, η άμυνα κατά του ransomware επικεντρωνόταν σε μια στιγμή: τη στιγμή που τα αρχεία κλειδώνονται. Όμως, νέα ευρήματα που καλύπτει το The National CIO Review καθιστούν σαφές ότι η κρυπτογράφηση είναι συχνά το λιγότερο πολύτιμο μέρος μιας επίθεσης ransomware για τους εγκληματίες πίσω από αυτήν. Το πραγματικό κέρδος προέρχεται από την κλοπή δεδομένων, και αυτό το κέρδος δεν σταματά όταν καταβάλλονται τα λύτρα ή αποκαθίστανται τα συστήματα.

Σύμφωνα με την έκθεση, το 54% των πληγέντων οργανισμών πλήρωσε απαίτηση λύτρων. Αυτό από μόνο του δεν προκαλεί έκπληξη, δεδομένης της αναστάτωσης που μπορούν να προκαλέσουν τα κρυπτογραφημένα συστήματα. Αυτό που ξεχωρίζει είναι τι συνέβη στη συνέχεια: το 37% αυτών των οργανισμών που πλήρωσαν έλαβαν αργότερα άλλη απαίτηση από τον ίδιο ή διαφορετικό επιτιθέμενο. Με άλλα λόγια, πάνω από το ένα τρίτο των θυμάτων που νόμιζαν ότι είχαν κλείσει το περιστατικό βρέθηκαν πίσω στην αφετηρία, διαπραγματευόμενοι ξανά για τα ίδια κλεμμένα δεδομένα.

Γιατί τα Κλεμμένα Δεδομένα Συνεχίζουν να Αποφέρουν Κέρδη στους Επιτιθέμενους

Μόλις οι επιτιθέμενοι εξάγουν δεδομένα πριν από την ανάπτυξη κρυπτογράφησης, αποκτούν πολλαπλές, ξεχωριστές ροές εσόδων που δεν εξαρτώνται από το αν τα συστήματα του θύματος παραμένουν κλειδωμένα. Η έκθεση περιγράφει αρκετές από αυτές:

• Απειλές δημόσιας αποκάλυψης: Οι επιτιθέμενοι απειλούν να διαρρεύσουν ευαίσθητα αρχεία εκτός αν γίνει δεύτερη πληρωμή, ακόμη και μετά τα αρχικά λύτρα για τα κλειδιά αποκρυπτογράφησης.
• Μεταπώληση κλεμμένων δεδομένων: Οι πληροφορίες πωλούνται σε εγκληματικές αγορές σε άλλους φορείς απειλών, ανεξάρτητα από το αν το αρχικό θύμα πλήρωσε οτιδήποτε.
• Κατάχρηση διαπιστευτηρίων: Ονόματα χρηστών, κωδικοί πρόσβασης και tokens πρόσβασης που βρίσκονται σε κλεμμένα αρχεία επαναχρησιμοποιούνται για να παραβιάσουν άλλους λογαριασμούς ή συστήματα, μερικές φορές σε συνεργαζόμενους οργανισμούς ή προμηθευτές.
• Επακόλουθες επιθέσεις: Λεπτομέρειες που συλλέγονται από μια παραβίαση, όπως διαγράμματα δικτύου, συμβόλαια προμηθευτών ή εσωτερικές επικοινωνίες, καθιστούν τις μελλοντικές εισβολές ευκολότερες και πιο στοχευμένες.

Αυτός είναι ο λόγος που οι ερευνητές ασφαλείας περιγράφουν όλο και περισσότερο το σύγχρονο ransomware ως πρόβλημα κλοπής δεδομένων με προσαρτημένη κρυπτογράφηση, παρά το αντίστροφο. Η κρυπτογράφηση διαταράσσει τις λειτουργίες για ημέρες ή εβδομάδες. Τα κλεμμένα δεδομένα μπορούν να χρησιμοποιηθούν ως όπλο για μήνες ή χρόνια.

Ένα πρόσφατο παράδειγμα αυτής της δυναμικής που εκτυλίχθηκε δημόσια αφορούσε την παραβίαση της Tata Electronics που διέρρευσε μυστικά του iPhone 18 Pro, όπου μια ομάδα ransomware που αυτοαποκαλείται World Leaks δημοσίευσε ευαίσθητες μη κυκλοφορημένες πληροφορίες προϊόντων αφού απέκτησε πρόσβαση σε εσωτερικά συστήματα. Περιπτώσεις όπως αυτή δείχνουν πώς τα κλεμμένα εταιρικά δεδομένα διατηρούν αξία για τους επιτιθέμενους πολύ πέρα από την αρχική εισβολή και πώς οι απειλές αποκάλυψης από μόνες τους μπορούν να αναγκάσουν τους οργανισμούς σε δύσκολες αποφάσεις ακόμη και χωρίς ενεργό ωφέλιμο φορτίο κρυπτογράφησης.

Γιατί η Πληρωμή Δεν Εγγυάται ότι η Ιστορία Τελειώνει

Το ποσοστό 37% επαναλαμβανόμενων απαιτήσεων αξίζει ιδιαίτερης προσοχής επειδή υπονομεύει μια κοινή υπόθεση: ότι η πληρωμή λύτρων κλείνει το περιστατικό. Στην πραγματικότητα, μόλις τα δεδομένα φύγουν από το δίκτυο ενός οργανισμού, το θύμα δεν έχει τρόπο να επαληθεύσει ότι τα αντίγραφα καταστράφηκαν, ότι ο επιτιθέμενος δεν θα μεταπωλήσει τις πληροφορίες ή ότι μια διαφορετική ομάδα δεν έχει ήδη αποκτήσει τα ίδια αρχεία. Η πληρωμή αντιμετωπίζει το πρόβλημα της κρυπτογράφησης. Δεν κάνει τίποτα για να αντιμετωπίσει το πρόβλημα της κλοπής δεδομένων, επειδή αυτά τα δεδομένα είναι ήδη εκτός του ελέγχου του θύματος τη στιγμή της εξαγωγής.

Αυτό έχει άμεσες επιπτώσεις στο πώς σκέφτονται οι οργανισμοί την ετοιμότητα για ransomware. Ο σχεδιασμός αντιγράφων ασφαλείας και αποκατάστασης έχει σημασία για την επαναφορά των συστημάτων σε λειτουργία, αλλά δεν κάνει τίποτα για να αποτρέψει μια διαρροή, μια μεταπώληση ή μια δεύτερη απόπειρα εκβιασμού. Η πρόληψη της εξαγωγής δεδομένων εξαρχής, μέσω τμηματοποίησης δικτύου, αυστηρών ελέγχων πρόσβασης και ελαχιστοποίησης του πόσα ευαίσθητα δεδομένα αποθηκεύονται ή είναι προσβάσιμα, έχει εξίσου σημασία με τον σχεδιασμό αποκατάστασης.

Τι Σημαίνει Αυτό για Εσάς

Είτε διαχειρίζεστε την πληροφορική για μια μικρή επιχείρηση είτε απλώς προστατεύετε τους δικούς σας λογαριασμούς, το μάθημα από αυτά τα δεδομένα είναι το ίδιο: υποθέστε ότι οποιαδήποτε παραβίαση που αφορά τις πληροφορίες σας θα μπορούσε να οδηγήσει σε συνεχιζόμενη έκθεση, όχι σε ένα μεμονωμένο περιστατικό. Εάν μια εταιρεία με την οποία αλληλεπιδράτε αποκαλύψει μια επίθεση ransomware, αντιμετωπίστε την ως ανοιχτό κίνδυνο. Οι επαναχρησιμοποιημένοι κωδικοί πρόσβασης, τα παλιά διαπιστευτήρια λογαριασμών και τα προσωπικά στοιχεία που συνδέονται με αυτήν την παραβίαση μπορούν να επανεμφανιστούν σε απόπειρες credential stuffing ή επακόλουθες απάτες πολύ καιρό αφού ξεθωριάσουν οι πρωτοσέλιδοι τίτλοι.

Για τους οργανισμούς, το συμπέρασμα είναι να αντιμετωπίζουν την ελαχιστοποίηση δεδομένων και την τμηματοποίηση δικτύου ως βασικές άμυνες κατά του ransomware, όχι ως δευτερεύουσες σκέψεις. Ο περιορισμός του πόσα ευαίσθητα δεδομένα είναι προσβάσιμα από οποιοδήποτε μεμονωμένο παραβιασμένο σημείο μειώνει το πόσα μπορούν να κλέψουν οι επιτιθέμενοι ακόμη και αν εισέλθουν.

Δραστικά Μέτρα

• Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης για κάθε λογαριασμό και ενημερώστε τους εάν ειδοποιηθείτε για παραβίαση που αφορά τα δεδομένα σας, ακόμη και μήνες αργότερα.
• Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου είναι δυνατόν για να αμβλύνετε την αξία των κλεμμένων διαπιστευτηρίων.
• Εάν διαχειρίζεστε μια επιχείρηση, ελέγξτε ποια ευαίσθητα δεδομένα αποθηκεύονται και ποιος μπορεί να έχει πρόσβαση σε αυτά· λιγότερα εκτεθειμένα δεδομένα σημαίνουν λιγότερη μόχλευση για τους επιτιθέμενους.
• Μην υποθέτετε ότι ένα περιστατικό ransomware έχει τελειώσει μόλις πληρωθούν τα λύτρα ή αποκατασταθούν τα συστήματα. Παρακολουθήστε για σημάδια διαρροής δεδομένων ή ανανεωμένων απόπειρων εκβιασμού.
• Τμηματοποιήστε τα δίκτυα έτσι ώστε μια μεμονωμένη παραβιασμένη συσκευή ή λογαριασμός να μην μπορεί να εκθέσει ολόκληρο το περιβάλλον δεδομένων σας.

Το μεγαλύτερο πλεονέκτημα του ransomware δεν είναι η κρυπτογράφηση που τραβά τα πρωτοσέλιδα. Είναι η κλοπή δεδομένων που συμβαίνει αθόρυβα εκ των προτέρων και συνεχίζει να παράγει αξία για τους επιτιθέμενους πολύ καιρό αφού η αρχική κρίση φαίνεται να έχει επιλυθεί.