Yli 50 kiristyshaittaohjelmahyökkäyksen luettelo osoittaa, että toimintamalli on muuttumassa
Uusi kokoelma esimerkkejä kiristyshaittaohjelmahyökkäyksistä, jotka kattavat kymmeniä suuria tietomurtoja ja niiden taloudelliset kustannukset, tuo esiin jotain huomionarvoista raakalukujen lisäksi: näiden hyökkäysten mekaniikka kehittyy tavoilla, jotka asettavat henkilötiedot suurempaan vaaraan kuin pelkkä salaus koskaan teki.
Klassinen versio kiristyshaittaohjelmasta, jota usein kutsutaan kryptokiristäjäksi, toimii juuri niin kuin suurin osa ihmisistä kuvittelee. Haitallinen koodi livahtaa verkkoon ja salaa tiedostot vahvoilla algoritmeilla, tyypillisesti AES-256:lla itse datan lukitsemiseksi ja RSA-2048:lla salausavaimen suojaamiseksi. Kun prosessi on valmis, tiedostoja ei käytännössä voi palauttaa ilman hyökkääjän yksityistä avainta. Uhreille näytetään sitten lunnasviesti, jossa vaaditaan maksua, yleensä Bitcoinina tai Monerona, usein yhdistettynä laskuriin ja uhkaukseen, että avain tuhotaan, jos määräaika umpeutuu.
Tämä malli rakensi kiristyshaittaohjelmien nykyisen maineen: lukittu sairaala, halvaantunut kaupunginhallinto, valmistaja, joka ei pysty toimittamaan tuotteita. Mutta esimerkkiluettelo viittaa toiseen, hiljaisempaan taktiikkaan, joka on saamassa jalansijaa rinnalla – taktiikkaan, joka ei perustu salaukseen lainkaan.
Tietovarkauskiristys ei vaadi yhdenkään tiedoston lukitsemista
Sen sijaan, että tiedostoja sotkettaisiin, jotkut hyökkääjät nyt vain kopioivat arkaluontoisia tietoja verkosta ennen kuin kukaan huomaa, ja uhkaavat sitten julkaista tai myydä ne, ellei maksua suoriteta. Työpöydällä ei raksuta lähtölaskentakelloa, eikä IT-osasto kiirehdi palauttamaan varmuuskopioista. Vaikutuskeinona ei ole toiminnan häirintä, vaan altistuminen.
Tällä erolla on merkitystä kenelle tahansa, joka ajattelee omaa yksityisyyttään, ei pelkästään organisaatioille, jotka hallinnoivat tietoturvabudjetteja. Salaukseen perustuva kiristyshaittaohjelma on pohjimmiltaan saatavuusongelma: tietosi ovat edelleen olemassa, et vain pääse niihin käsiksi ennen kuin ne on palautettu tai lunnaat on maksettu. Tietovarkauskiristys on luottamuksellisuusongelma: tiedot ovat jo poissa, jo hyökkääjän palvelimella, eikä mikään lunnasmaksu voi perua sitä. Jopa organisaatioilla, joilla on vankat varmuuskopiot ja nopeat palautussuunnitelmat, ei ole todellista vastausta uhkaan, joka perustuu täysin altistumiseen. Ransomware-as-a-service -ryhmät, sellaisia kuin on kuvattu LockBit 5.0:n ja sen toiminnan Operation Cronoksen jälkeen käsittelevässä artikkelissa, ovat omaksuneet juuri tämän kaksinkertaisen uhkan lähestymistavan: salaa mitä voit, varasta mitä et voi, ja kiristä molemmilla rintamilla.
Miksi lunnasvaatimus on vain osa tarinaa
Median uutisointi kiristyshaittaohjelmahyökkäyksistä keskittyy usein itse lunnassummaan, ja on helppo ymmärtää miksi: tietty dollarimääräinen summa on selkeä otsikko. Mutta hyökkäyksen taloudellinen kustannus heijastaa usein vain vasteen puolta: häiriötilanteen käsittely, käyttökatkot, oikeudenkäyntikulut, sääntelysakot ja mahdollinen lunnaiden maksu. Se luku ei kata sitä alavirran yksityisyydellistä seurausta ihmisille, joiden tiedot olivat siinä järjestelmässä: potilaille, joiden sairauskertomukset paljastuivat, asiakkaille, joiden maksutiedot kopioitiin, työntekijöille, joiden henkilötiedot olivat henkilöstöhallinnon tietokannassa, josta ne varastettiin.
Se on todellinen yksityisyyden suojaan liittyvä seuraus, joka on piilotettuna näihin tietomurtoluetteloihin. Yritys voi palauttaa järjestelmänsä, maksaa sakkonsa ja jatkaa eteenpäin. Yksilö, jonka tiedot on varastettu, ei saa samaa puhdasta toipumista. Heidän tietonsa voivat kiertää loputtomasti, kun ne on kerran poistettu alkuperäisestä verkosta, ja ne voivat ilmaantua tunnusten täyttölistoille, tietojenkalastelukampanjoihin tai identiteettivarkausyrityksiin kauan sen jälkeen, kun alkuperäinen hyökkäys on haihtunut uutisista.
Mitä tämä tarkoittaa sinulle
Jos olet kuluttaja, oppi ei ole se, että sinun pitäisi henkilökohtaisesti puolustautua kiristyshaittaohjelmia vastaan – se on organisaatioiden ongelma, jotka hallussaan pitävät tietojasi. Mutta siirtyminen kohti tietovarkauskiristystä tarkoittaa, että tietomurtoilmoitukset ansaitsevat enemmän huomiota kuin ne yleensä saavat, vaikka yritys sanoisi, ettei lunnaita ole maksettu tai järjestelmiä ole häiritty. "Mitään ei salattu" ei enää tarkoita "mitään ei viety".
Jos työskentelet IT- tai tietoturva-alalla, oppi näistä yli 50 esimerkistä on, että pelkkä varmuuskopiointistrategia ei enää riitä. Palautussuunnittelussa on otettava huomioon altistuminen, ei pelkästään käyttökatkoksia, mikä tarkoittaa arkaluontoisten tietojen salaamista levossa, sen rajoittamista, mihin yksi vaarantunut tili voi päästä käsiksi, ja tietojen ulossuotautumisen havaitsemisen kohtelemista yhtä vakavasti kuin itse kiristyshaittaohjelman havaitsemista.
Käytännön askeleita, jotka kannattaa ottaa
Muutamalla tavalla on pitkä vaikutus riippumatta siitä, kummalla puolella tietomurtoa olet. Yksilöiden tulisi seurata käyttämiinsä palveluihin liittyviä tietomurtoilmoituksia, ottaa käyttöön monivaiheinen todennus missä tahansa sitä tarjotaan, ja suhtautua epäilyksellä ei-toivottuihin viesteihin, jotka viittaavat tilitietoihin, sillä varastetut tiedot ruokkivat usein seurantatietojenkalastelua. Organisaatioiden tulisi olettaa, että mikä tahansa onnistunut tunkeutuminen voi sisältää tietovarkauden, vaikka näkyvää lunnasviestiä ei olisikaan, ja rakentaa vastesuunnitelmia, jotka käsittelevät tietojen julkistamista ja asiakkaiden suojaa, eivät pelkästään järjestelmien palauttamista.
Kiristyshaittaohjelmien kehitys puhtaasta salausuhasta laajemmaksi kiristystaloudeksi on muistutus siitä, että taistelu ei ole pelkästään järjestelmien toiminnassa pitämisestä. Kyse on tietojen pitämisestä yksityisinä alun perinkin, ja se on vastuu, joka ulottuu paljon pidemmälle kuin hetkeen, jolloin lunnasviesti ilmestyy näytölle.
