Νέα έρευνα από τη Σιγκαπούρη στέλνει μια άβολη υπενθύμιση στις επιχειρήσεις που εξετάζουν αν θα πληρώσουν λύτρα για ransomware: η πληρωμή συχνά δεν βάζει τέλος στην περιπέτεια. Σύμφωνα με δημοσίευμα του Singapore Business Review, το 50% των τοπικών οργανισμών που επλήγησαν από επιθέσεις εκβιασμού παρέδωσαν χρήματα στους επιτιθέμενους, και ένα εντυπωσιακό ποσοστό από τα θύματα ransomware που πλήρωσαν βρέθηκαν αντιμέτωπα με δεύτερη απαίτηση στη συνέχεια.

Το εύρημα αυτό έρχεται σε αντίθεση με την κοινή υπόθεση ότι η πληρωμή λύτρων είναι ένας γρήγορος τρόπος για να εξαφανιστεί ένα δαπανηρό πρόβλημα. Για πολλούς οργανισμούς, φαίνεται να κάνει το αντίθετο: σηματοδοτεί στις εγκληματικές ομάδες ότι το θύμα είναι ταυτόχρονα πρόθυμο και ικανό να πληρώσει, καθιστώντας το πρώτο υποψήφιο για δεύτερο γύρο.

Τι διαπίστωσε η έρευνα

Το βασικό νούμερο της μελέτης είναι απλό αλλά απογοητευτικό. Οι μισοί από τους οργανισμούς της Σιγκαπούρης που συμμετείχαν στην έρευνα και αντιμετώπισαν μια επίθεση ransomware ή εκβιασμού επέλεξαν να πληρώσουν τους επιτιθέμενους. Πρόκειται για απόφαση που πάρθηκε υπό τεράστια πίεση, συχνά με κρυπτογραφημένα συστήματα, διακοπείσες λειτουργίες και επικείμενη φήμη ως βάρος στο αποτέλεσμα.

Αυτό που καθιστά αυτά τα δεδομένα ιδιαίτερα αξιοσημείωτα είναι η συνέχεια: ένα σημαντικό ποσοστό από αυτούς που πλήρωσαν δεν έλαβαν οριστική λύση. Αντίθετα, έλαβαν δεύτερη απαίτηση εκβιασμού, είτε από την ίδια ομάδα που επέστρεψε για περισσότερα είτε από έναν συνδεδεμένο δράστη που εκμεταλλεύτηκε την ίδια πρόσβαση ή δεδομένα που διέρρευσαν. Αυτό το μοτίβο δεν είναι μοναδικό στη Σιγκαπούρη. Παρόμοια ευρήματα έχουν προκύψει και αλλού, συμπεριλαμβανομένης ανάλυσης που δείχνει ότι οι συμμορίες ransomware επανεκβιάζουν το 22% των θυμάτων που έχουν ήδη πληρώσει, ενώ ξεχωριστή έρευνα από τη Νέα Ζηλανδία διαπίστωσε ότι περίπου 1 στις 5 πληρωμές λύτρων προδόθηκαν από επιτιθέμενους που επέστρεψαν για περισσότερα παρά την είσπραξη της πληρωμής.

Συνολικά, αυτά τα δεδομένα σκιαγραφούν μια συνεπή εικόνα σε διαφορετικές αγορές: η πληρωμή λύτρων δεν αγοράζει αξιόπιστα ασφάλεια, και σε έναν σημαντικό αριθμό περιπτώσεων μπορεί να αυξήσει τις πιθανότητες να γίνεις ξανά στόχος.

Γιατί οι επιτιθέμενοι επιστρέφουν για περισσότερα

Η συμπεριφορική λογική εδώ είναι ευθεία μόλις την εξετάσεις από την οπτική του εγκληματία. Ένα θύμα που έχει ήδη πληρώσει έχει επιδείξει τρία πράγματα πολύτιμα για έναν εκβιαστή: έχει διαθέσιμα χρήματα, έχει αποφασίσει ότι η πληρωμή είναι προτιμότερη από την εναλλακτική, και μπορεί να του λείπουν οι τεχνικές άμυνες για να αποτρέψει μια επαναλαμβανόμενη εισβολή.

Οι επιχειρήσεις ransomware μοιάζουν όλο και περισσότερο με επιχειρήσεις που έχουν τις δικές τους εσωτερικές μετρήσεις. Ένας πελάτης που πληρώνει, για να το πούμε ωμά, είναι ένας αποδεδειγμένος στόχος. Ορισμένες ομάδες λειτουργούν επίσης ως θυγατρικές ή franchise, πράγμα που σημαίνει ότι τα δεδομένα ή η πρόσβαση δικτύου ενός θύματος μπορούν να μεταπωληθούν ή να επαναχρησιμοποιηθούν από μια εντελώς διαφορετική εγκληματική οντότητα, με αποτέλεσμα μια δεύτερη απαίτηση που δεν έχει καμία σχέση με την ομάδα πίσω από την πρώτη επίθεση. Με οποιονδήποτε τρόπο, το θύμα παραμένει εκτεθειμένο στον κίνδυνο διπλά.

Αυτή η δυναμική είναι ακριβώς ο λόγος που οι υπηρεσίες κυβερνοασφάλειας και οι ερευνητές προειδοποιούν εδώ και καιρό κατά της αντιμετώπισης της πληρωμής λύτρων ως λύσης παρά ως προσωρινής και αναξιόπιστης εναλλακτικής.

Πέρα από την πληρωμή λύτρων: Οικοδομώντας πραγματικές άμυνες

Αν η πληρωμή δεν είναι εγγυημένη λύση, πού θα πρέπει οι οργανισμοί και τα άτομα να εστιάσουν την ενέργειά τους αντ' αυτού; Η απάντηση βρίσκεται στη μείωση των πιθανοτήτων μιας επιτυχημένης επίθεσης εξαρχής και στον περιορισμό της ζημιάς όταν αυτή συμβεί.

Αυτό ξεκινά με τα βασικά: διατήρηση αντιγράφων ασφαλείας εκτός σύνδεσης, δοκιμασμένων, ώστε τα κρυπτογραφημένα δεδομένα να μπορούν να αποκατασταθούν χωρίς διαπραγμάτευση με τους επιτιθέμενους. Σημαίνει επίσης ενίσχυση των ελέγχων απομακρυσμένης πρόσβασης, δεδομένου ότι διαπιστευτήρια που έχουν διαρρεύσει και εκτεθειμένα πρωτόκολλα απομακρυσμένης επιφάνειας εργασίας παραμένουν κοινά σημεία εισόδου για τις ομάδες ransomware. Η κρυπτογράφηση ευαίσθητης κίνησης και η χρήση ασφαλών, καλά διαμορφωμένων συνδέσεων VPN για απομακρυσμένη και υβριδική εργασία μπορεί να μειώσει την επιφάνεια επίθεσης στην οποία βασίζονται οι εγκληματίες για να αποκτήσουν αρχική πρόσβαση. Η εκπαίδευση των εργαζομένων για τον εντοπισμό προσπαθειών phishing, που παραμένουν κορυφαία μέθοδος παράδοσης ωφέλιμων φορτίων ransomware, ολοκληρώνει μια στρατηγική άμυνας σε επίπεδα που δεν εξαρτάται από την ελπίδα ότι οι επιτιθέμενοι θα κρατήσουν τον λόγο τους.

Τι σημαίνει αυτό για εσάς

Για τις μικρές και μεσαίες επιχειρήσεις ειδικότερα, αυτή η έρευνα θα πρέπει να αναδιαμορφώσει τον σχεδιασμό αντιμετώπισης περιστατικών. Αν ο οργανισμός σας χτυπηθεί ποτέ από ransomware, η απόφαση να πληρώσετε δεν θα πρέπει να αντιμετωπίζεται ως μια καθαρή στρατηγική εξόδου. Προϋπολογίστε και σχεδιάστε σαν η πληρωμή να μπορεί να αγοράσει μόνο προσωρινή ανακούφιση, όχι μόνιμη επίλυση. Αυτό σημαίνει ύπαρξη τεκμηριωμένου σχεδίου αντιμετώπισης περιστατικών, νομική και κανονιστική καθοδήγηση έτοιμη εκ των προτέρων, και μια ξεκάθαρη κατανόηση ότι η πληρωμή μπορεί να προσκαλέσει περαιτέρω στόχευση αντί να την τερματίσει.

Για άτομα και απομακρυσμένους εργαζόμενους, το συμπέρασμα είναι πιο προσωπικό: τα αδύνατα σημεία που εκμεταλλεύονται οι επιτιθέμενοι, από μη ενημερωμένο λογισμικό μέχρι μη ασφαλείς συνδέσεις, είναι συχνά αποτρέψιμα με βασική υγιεινή παρά με ακριβά εργαλεία.

Βασικά συμπεράσματα

  • Οι μισοί από τους οργανισμούς της Σιγκαπούρης που επλήγησαν από επιθέσεις εκβιασμού πλήρωσαν τους επιτιθέμενους, σύμφωνα με τη νέα έρευνα.
  • Ένα αξιοσημείωτο ποσοστό θυμάτων ransomware που πλήρωσαν έλαβαν παρ' όλα αυτά δεύτερη απαίτηση εκβιασμού, επαναλαμβάνοντας παρόμοια παγκόσμια ευρήματα.
  • Η πληρωμή θα πρέπει να αντιμετωπίζεται ως έσχατη λύση και όχι ως εγγυημένη λύση σε μια ενεργή επίθεση.
  • Ισχυρά αντίγραφα ασφαλείας, ασφαλής απομακρυσμένη πρόσβαση και ευαισθητοποίηση στο phishing μειώνουν τις πιθανότητες να βρεθείς ποτέ αντιμέτωπος με αυτή την απόφαση.
  • Οι οργανισμοί θα πρέπει να σχεδιάζουν την αντιμετώπιση περιστατικών υποθέτοντας ότι οι επιτιθέμενοι μπορεί να επιστρέψουν, αντί να υποθέτουν ότι η πληρωμή τερματίζει την απειλή.

Τελικά, η έρευνα αποτελεί κάλεσμα για μετατόπιση της εστίασης από τις αντιδραστικές αποφάσεις πληρωμής στην προληπτική πρόληψη. Οι επιχειρήσεις που είναι σε καλύτερη θέση να αντέξουν μια επίθεση ransomware είναι εκείνες που ποτέ δεν χρειάζεται να αποφασίσουν αν αξίζει τον κίνδυνο να πληρώσουν.