Lunnasjengille maksaminen ei koskaan ollut turvan tae, mutta uusi tutkimus antaa kovan luvun sille, kuinka usein tuo uhkapeli epäonnistuu. Tuoreiden löydösten mukaan 58 % Yhdistyneen kuningaskunnan lunnasohjelmahyökkäyksen kohteeksi joutuneista organisaatioista maksoi vaaditut lunnaat, ja 22 % maksajista joutui uudelleen toisen kiristysyrityksen kohteeksi. IT-tiimeille, ja kaikille joiden henkilötiedot kulkevat yritysverkkojen läpi, viesti on selvä: vanha ”maksa ja jatka eteenpäin” -toimintamalli ei enää päde.
Uusi todellisuus: Maksaminen ei lopeta hyökkäystä
Lunnasohjelmat seurasivat aiemmin melko ennustettavaa käsikirjoitusta: hyökkääjät salaavat tiedostosi, sinä maksat, saat salauksen purkuavaimen ja tapaus on loppuun käsitelty. Tämä käsikirjoitus on kirjoitettu uusiksi. Siirtyminen kaksinkertaiseen kiristykseen, jossa hyökkääjät varastavat tiedot ennen salausta ja uhkaavat vuotaa nuo tiedot maksusta riippumatta, tarkoittaa, ettei lunnasmaksu selvitä mitään. Luku, jonka mukaan 22 % jo maksaneista organisaatioista joutuu uuden kiristyksen kohteeksi, vahvistaa sen, mistä monet tietoturvatutkijat ovat varoittaneet vuosia: kun tietosi ovat kerran päätyneet ulos, et enää hallitse, mitä niille seuraavaksi tapahtuu. Rikollisryhmällä, joka on kerran saanut maksun, on kaikki kannusteet palata takaisin, oli kyseessä sitten sama toimija tai eri taho, joka toimii edelleenmyydyn pääsyn varassa.
Windows-järjestelmien ylläpitäjille tämä muuttaa erityisesti tietoturvaloukkausten käsittelyä. Varmuuskopioista palauttamista pidettiin aiemmin maksamisen vaihtoehtona. Nyt sitä on pidettävä perusodotuksena, sillä maksaminen ei luotettavasti tyrehdytä tietovuotopuolen vahinkoa. Testatut, verkon ulkopuolella säilytetyt varmuuskopiot, vahvat identiteetinhallinnan suojaukset ja dokumentoitu palautussuunnitelma katkaisevat kierteen – eivät rahansiirrot anonyymiin lompakkoon.
Tekoäly kiihdyttää alkuvaltausta
Tutkimuksen toinen keskeinen teema on tekoälyn kasvava rooli hyökkäyksen alkuvaiheissa. Alkuvaltauksessa – hetkessä, jolloin hyökkääjät saavat ensimmäisen jalansijansa verkkoon – tekoälytyökalujen kerrotaan vaikuttavan eniten. Nopeampi tiedustelu, vakuuttavammat tietojenkalasteluhoukuttimeet ja hyödynnettävien heikkouksien nopeampi tunnistaminen kaventavat puolustajien aikalkkunaa huomata jotain outoa ennen vahinkojen syntymistä.
Tällä on merkitystä, koska suurin osa lunnasohjelmapuolustuksesta perustuu edelleen oletukseen, että hyökkääjät tarvitsevat aikaa liikkua verkossa ennen vakavan vahingon aiheuttamista. Jos tekoäly tiivistää tätä aikajännettä, pelkästään säännöllisiin päivityssykliin ja manuaaliseen valvontaan turvautuvat organisaatiot altistuvat entistä enemmän. Tämä vahvistaa syytä sille, miksi identiteetin turvallisuudesta – esimerkiksi monivaiheisesta tunnistautumisesta, etuoikeustetun pääsyn hallinnasta ja nopeasta poikkeamien havaitsemisesta – on tullut yhtä tärkeää kuin päätelaitesuojauksesta.
Miksi tietovarkaus on todellinen yksityisyyden tarina
Vaikka salatut tiedostot ovat useimmiten otsikoissa, kaksinkertaisen kiristyksen malli nostaa valokeilaan jotain, mikä on tavallisille ihmisille tärkeämpää: itse datan. Jokainen lunnasohjelmatapaus, johon liittyy varastettuja HR-rekistereitä, asiakastietokantoja tai työntekijöiden tiedostoja, on pohjimmiltaan tietosuojaloukkaus. Pohditaanpa, miten Etelä-Afrikan tilastokeskuksen HR-järjestelmän tietomurto paljasti työntekijöiden tietoja, tapaus, joka osoittaa, kuinka arkaluonteisia henkilötietoja sisältävistä sisäisistä järjestelmistä voi tulla varsinainen kohde eikä pelkkää laajemman hyökkäyksen oheisvahinkoa. Kun lunnasohjelmaryhmät kopioivat tällaisia tietoja ennen järjestelmien lukitsemista, maksaminen ei kumoa sitä tosiasiaa, että nimet, palkat, osoitteet tai terveystiedot saattavat jo olla rikollisten palvelimella – tai jo myynnissä.
Tämä on usein puuttuva pala puhtaasti teknisestä lunnasohjelma-uutisoinnista: toinen kiristysyritys ei ole vain yrityksen päänsärky, vaan toinen altistumisaalto niille henkilöille, joiden tiedot alun perin varastettiin. Työntekijät, asiakkaat ja potilaat saavat harvoin sanoa sanaakaan siihen, maksaako heidän organisaationsa, mutta he kantavat jatkuvaa identiteettivarkauden, kohdennetun tietojenkalastelun tai petoksen riskiä pitkään sen jälkeen, kun otsikot ovat haalistuneet.
Mitä tämä tarkoittaa sinulle
Jos työskentelet IT:n tai tietoturvan parissa, tämä data on selvä merkki siitä, ettei lunnasmaksua tulisi enää pitää ratkaisuna, vaan pahimpana mahdollisena varasuunnitelmana. Palautussuunnitelmat, muuttumattomat varmuuskopiot ja identiteettiä suojaava puolustus ansaitsevat enemmän budjettia ja testausaikaa kuin mitä niille yleensä annetaan. Jos olet sellaisen organisaation työntekijä tai asiakas, joka on ilmoittanut lunnasohjelmatapauksesta, oleta, että tietosi on saatettu kopioida, vaikka sinulle kerrottaisiinkin, että järjestelmät on ”palautettu”. Seuraa tilejäsi, tarkkaile hyökkäykseen viittaavia tietojenkalasteluyrityksiä ja harkitse luottotietojen seurantaa, jos arkaluonteisia henkilö- tai taloustietoja on ollut mukana.
Käytännön toimenpiteet
Organisaatioiden tulisi tarkastaa varmuuskopioiden eheys säännöllisesti ja varmistaa, että varmuuskopiot ovat aidosti erillään tuotantoverkosta. Monivaiheisen tunnistautumisen ja vähimpien oikeuksien periaatteen tulisi olla ehdottomia kaikissa järjestelmissä, ei vain kriittisissä. Tietoturvaloukkausten käsittelysuunnitelmien on otettava eksplisiittisesti huomioon kaksinkertaisen kiristyksen tilanne, mukaan lukien juridiset ja viestinnälliset toimet silloin, kun varastetut tiedot tulevat julki. Kaikkien, joita lunnasohjelmatapaus koskettaa, tulisi vaihtaa salasanansa, ottaa monivaiheinen tunnistautuminen käyttöön siellä missä mahdollista ja pysyä valppaana seurantahuijausten varalta. Data osoittaa selvästi, ettei lunnasohjelmiin liittyvä toinen kiristys ole enää harvinainen poikkeustapaus – siitä on tulossa vakiintunut osa hyökkäyksen elinkaarta, ja valmistautuminen on ainoa todellinen puolustuskeino.
