Why is backup-and-restore no longer enough on its own against ransomware?

Backups address encryption but not data theft, so attackers increasingly rely on stealing and threatening to expose data instead of just locking files.

How is AI affecting ransomware attacks?

AI lowers the technical skill required to run ransomware operations, allowing more people to participate and existing groups to operate faster and at greater scale.

What happened to ransom payment rates in recent years?

Ransom payment rates have fallen for six straight years, from about 85% in 2019 to roughly 23% today.

Why have ransomware attackers shifted toward data theft?

Because encryption alone has become less reliable as a moneymaker when organizations can restore from backups, so attackers now emphasize extortion based on the threat of public exposure.

What network-level defenses does the article say are becoming central?

Segmentation, VPN-gated access, and least-privilege networking are becoming central rather than supplementary defenses.

Tekoälyn ransomware-trendi: Miksi verkkopuolustus on nyt entistä tärkeämpää

Tekoälyn ransomware-verkkopuolustus: uusi prioriteetti taktiikoiden muuttuessa

Check Pointin uusi tutkimus tuo esiin muutoksen siinä, miten kiristysohjelmaoperaattorit toimivat, ja miksi vanha toimintamalli, jossa varmuuskopiointi ja palautus riittävät, ei enää yksinään riitä. Data osoittaa jotakin vastahakoista: vaikka varmuuskopiointi- ja palautusteknologia on parantunut, hyökkääjät eivät ole luovuttaneet. He ovat sopeutuneet. Lunnaiden maksuaste on laskenut kuusi vuotta peräkkäin, noin 85 prosentista vuonna 2019 noin 23 prosenttiin nykyään, ja tämä lasku muokkaa hyökkääjien strategiaa tavoilla, jotka lisäävät painetta verkkotason puolustuksille, kuten segmentoinnille ja kontrolloidulle etäkäytölle.

Tällä on merkitystä kaikille, jotka vastaavat yritysjärjestelmien suojaamisesta, ja sillä on merkitystä myös laajemmalle keskustelulle tekoälyn ransomware-verkkopuolustuksesta, koska työkalut, jotka ennen tuntuivat valinnaisilta (segmentointi, VPN-porttien takana oleva käyttö, vähimpien oikeuksien verkottaminen), ovat muuttumassa keskeisiksi pikemminkin kuin täydentäviksi.

Miten tekoäly laskee osallistumiskynnystä

Check Pointin tutkimus viittaa tekoälyyn tekijänä, joka vähentää kiristysohjelmaoperaation pyörittämiseen tarvittavaa teknistä osaamista. Tehtävät, jotka ennen vaativat erikoistunutta koodausosaamista, räätälöityä haittaohjelmakehitystä tai syvällistä perehtymistä kohdeympäristöihin, voidaan nyt nopeuttaa tai automatisoida tekoälytyökaluilla. Tämä ei välttämättä tarkoita, että tekoäly keksisi yhdessä yössä uusia hyökkäysluokkia, mutta se tarkoittaa, että useammat ihmiset voivat osallistua kiristysohjelmaoperaatioihin vähemmällä kokemuksella, ja olemassa olevat ryhmät voivat toimia nopeammin ja suuremmassa mittakaavassa.

Tämä laskenut kynnys liittyy laajempaan kuvioon, joka on jo nähtävissä kiristysohjelmamaisemassa. Kuten raportoinnissa on käsitelty siitä, miten kiristysohjelmaekosysteemi on pirstoutumassa kymmeniksi aktiivisiksi ryhmiksi, ala ei ole keskittymässä muutaman hallitsevan toimijan ympärille. Sen sijaan se hajoaa moniin pienempiin ja ketterämpiin operaatioihin. Tekoälytyökalut todennäköisesti kiihdyttävät tätä pirstoutumista tekemällä pienemmille tai uudemmille ryhmille helpommaksi käynnistää uskottavia hyökkäyksiä ilman resursseja, jotka ennen olivat esteenä.

Miksi laskevat maksuasteet työntävät hyökkääjiä kohti tietovarkauksia

Lunnaiden maksuasteiden lasku ei ole merkki siitä, että ransomware olisi hiipumassa. Se on merkki siitä, että pelkkä salaus on lakannut olemasta luotettava rahantekotapa. Kun organisaatiot voivat palauttaa järjestelmät varmuuskopioista maksamatta, salauksen aiemmin tarjoama vipuvaikutus haihtuu. Hyökkääjät ovat vastanneet siirtämällä painopistettä kohti tietovarkauksia ja kiristystä, joka perustuu julkisen paljastamisen uhkaan, sen sijaan että luotettaisiin yksinomaan tiedostojen lukitsemiseen.

Tämä on merkittävä ero puolustajille. Kiristysohjelmastrategia, joka rakentuu ajatukselle "meillä on hyvät varmuuskopiot, joten olemme suojassa", käsittelee salauksen puoliskon uhasta, mutta tekee vähän estääkseen tietojen kopioimisen ja viemisen ennen salausta. Jos hyökkääjät voivat liikkua sivuttain verkossa, löytää arkaluonteisia tietovarastoja ja hiljaa poimia tietoja, varmuuskopiot muuttuvat merkityksettömiksi tässä osassa hyökkäystä. Kiristysuhka siirtyy muodosta "maksakaa, niin saatte tietonne takaisin" muotoon "maksakaa tai vuodatamme sen, minkä jo otimme".

Missä varmuuskopiot eivät riitä: segmentoinnin ja kontrolloidun käytön perustelut

Tässä kohtaa verkkoarkkitehtuurista tulee yhtä tärkeä kuin palautussuunnittelusta. Varmuuskopiot suojaavat tietojen menetykseltä, mutta ne eivät tee mitään estääkseen hyökkääjää selaamasta tasaista verkkoa, hyppimästä järjestelmien välillä ja pääsemästä tietoihin, joihin heillä ei koskaan ollut lupaa koskea. Kaksi hallintakeinoa ovat tässä ympäristössä entistä tärkeämpiä:

Verkkosegmentointi rajoittaa, kuinka pitkälle hyökkääjä voi liikkua saatuaan ensikäytön. Jos vaarantunut laite sijaitsee eristetyllä segmentillä, jolla on rajoitetut reitit arkaluonteisiin järjestelmiin, tietomurron räjähdyssäde pienenee dramaattisesti, vaikka tekoälyavusteiset työkalut olisivat auttaneet hyökkääjää pääsemään sisään nopeasti.

VPN-pohjainen ja identiteettitietoinen käytönhallinta rajoittaa sitä, kuka ja mikä voi ylipäätään saavuttaa sisäisiä resursseja. Sen sijaan, että laaja verkkokäyttö sallittaisiin, kunhan joku on päässyt verkon sisäpuolelle, modernit käyttötavat varmistavat identiteetin ja laitteen tilan jatkuvasti ja reitittävät liikenteen kontrolloitujen, salattujen kanavien kautta. Tämä vähentää todennäköisyyttä, että yksi vaarantunut tunnus tai päätelaite muuttuu portiksi koko verkkoon.

Yhdessä nämä hallintakeinot käsittelevät sitä osaa hyökkäysketjusta, jota varmuuskopiot eivät pysty: tiedustelu- ja sivuttaisliikkumisvaihetta, jossa tietovarkaus itse asiassa tapahtuu.

Mitä tämä tarkoittaa sinulle

IT- ja tietoturvatiimeille opetus on yksinkertainen: palautussuunnittelu ja käytönhallinta on kohdeltava toisiaan täydentävinä, ei toistensa korvaavina. Hyvät varmuuskopiot suojaavat seisokeilta ja tietojen menetykseltä salauksen yhteydessä, mutta ne eivät pysäytä varkauksia, ja varkaudet ovat yhä useammin se vipu, johon hyökkääjät luottavat. Sen tarkistaminen, kuinka tasainen tai segmentoitu verkkosi on ja kuinka tiukasti etä- ja sisäinen käyttö on hallittu, on käytännöllinen seuraava askel yrityksen koosta riippumatta.

Yksittäisille käyttäjille ja pienemmille organisaatioille periaate skaalautuu myös alas. Sen rajoittaminen, mihin yksittäinen laite tai tili voi päästä, vahvojen käytönhallintakeinojen käyttö etäyhteyksille ja epätavalliseen tilitoimintaan suhtautuminen skeptisesti vähentävät kaikki todennäköisyyttä, että yksi vaarantunut pääsypiste muuttuu täysimittaiseksi tietomurroksi.

Käytännön toimenpiteet

Älä luota pelkkiin varmuuskopioihin; ne käsittelevät salausta mutta eivät tietovarkautta, joka on nyt ensisijainen kiristystaktiikka.
Tarkista verkkosegmentointi sivuttaisliikkumisen rajoittamiseksi, jos laite tai tili vaarantuu.
Vahvista VPN- ja etäkäytön hallintakeinoja identiteettivarmistuksella laajan reunaluottamuksen sijaan.
Pysy ajan tasalla siitä, miten kiristysohjelmaryhmät kehittyvät, koska tekoälytyökalut mahdollistavat useampia, pienempiä ja nopeammin liikkuvia operaatioita pirstoutuneessa ekosysteemissä.
Käsittele tekoälyn ransomware-verkkopuolustusta jatkuvana kerrostettuna strategiana, ei kertaluonteisena päivityksenä.

Kun tekoäly jatkaa ransomwaren talouden ja mekaniikan muokkaamista, parhaiten pärjäävät organisaatiot, jotka kohtelevat verkkopuolustusta, eivät vain palautusta, ensimmäisenä suojalinjanaan.