Kiristysohjelmahyökkäykset eivät ole enää vain suuryritysten ongelma, joilla on syvät taskut ja omat tietoturvatiimit. Delta Crisis -yhtiön Michael Sjøbergin ja Peter Skovbon mukaan keskisuuret yritykset, jotka ovat monien kansantalouksien selkäranka, joutuvat yhä useammin lamautetuiksi hyökkääjien toimesta, jotka salaavat kriittiset järjestelmät ja vaativat maksua pääsyn palauttamisesta. Heidän ohjeistuksensa, joka julkaistiin Handelsblattin kautta, tarjoaa harvinaisen sisäpiirin näkymän siihen, miten yritykset itse asiassa neuvottelevat kyberkiristäjien kanssa ja mitkä toimet voivat vähentää vahinkoja jo ennen hyökkäyksen tapahtumista.

Miksi keskisuuret yritykset ovat uusi kohde

Vuosien ajan kiristysohjelmaotsikot keskittyivät sairaaloihin, valtion virastoihin ja monikansallisiin suuryrityksiin. Tämä kuva on muuttumassa. Hyökkääjät ovat ymmärtäneet, että pienemmillä ja keskisuurilla yrityksillä ei usein ole suuryritysten kaltaisia monikerroksisia puolustusjärjestelmiä, mutta niillä on silti arvokasta dataa, eivätkä ne voi varaa pitkiin seisokkeihin. Tämä muutos heijastaa laajempaa trendiä, joka on dokumentoitu muualla kiristysohjelmaekosysteemissä, jossa jotkin ryhmät ovat siirtyneet kohti tutkijoiden alueellista PK-yritysverkkojen tukahduttamista kutsuttua toimintatapaa, kohdentaen kokonaisia pienempien organisaatioiden klustereita sen sijaan, että ne valitsisivat huolellisesti yksittäisiä korkean arvon uhreja. Logiikka on yksinkertainen: volyymi korvaa tarkkuuden, ja jopa pienet lunnaat kasvavat, kun ne kerrotaan kymmenillä uhreilla.

Delta Crisisin kokemus viittaa siihen, että kun hyökkäys on tapahtunut, ero yrityksen välillä, joka toipuu rajallisilla vahingoilla, ja sellaisen välillä, joka kärsii pysyviä haittoja, riippuu usein valmistautumisesta ja siitä, miten neuvottelu itse hoidetaan ensimmäisten tuntien ja päivien aikana.

Kiristysohjelmaneuvottelun sisällä

Sjøbergin ja Skovbon mukaan neuvottelu kyberrikollisten kanssa ei ole yksinkertaisesti sitä, päätetäänkö maksaa vai ei. Se vaatii hyökkääjän liiketoimintamallin ymmärtämistä, sen varmistamista, mitä dataa on itse asiassa varastettu tai salattu, sekä viestinnän hallintaa tavalla, joka ei provosoi ryhmää tuhoamaan dataa eikä anna merkkejä epätoivosta, joka voisi nostaa vaatimusta. Tämä on herkkää työtä, ja se muistuttaa yhä enemmän ammattimaista palvelualaa pöydän molemmin puolin. Tämä ammatillistuminen näkyy laajemmin koko kiristysohjelmakentässä. Ryhmät ovat ottaneet käyttöön strukturoituja kiristysohjelma-palveluna (RaaS) -malleja, mikä on nähtävissä myös varoituksissa Gunra-kiristysohjelman laajentumisesta RaaS-toiminnaksi, jossa kumppanit toteuttavat hyökkäyksiä ydineryhmän rakentamilla työkaluilla vastineeksi osuudesta tuotoista. Tuloksena on skaalautuvampi ja toistettavampi kiristysprosessi, mikä on juuri syy siihen, miksi neuvottelustrategialla on niin suuri merkitys uhrille.

Monien näiden hyökkäysten sisääntulopiste ansaitsee myös huomiota. Hyökkääjät saavat usein alun perin pääsyn sosiaalisen manipuloinnin kautta sen sijaan, että hyödyntäisivät epäselviä teknisiä haavoittuvuuksia. Kampanjat, jotka väärinkäyttävät työkaluja, kuten Microsoft Teamsia, esiintyen väärennettyinä IT-tukina, osoittavat, miten yksi vakuuttava puhelu tai chat-viesti voi avata oven koko verkon vaarantumiseen, kauan ennen kuin mikään lunnaita vaativa viesti ilmestyy.

Yksityisyyden ja datan altistumisen panokset

Kiristysohjelmaneuvottelu ei koske vain salattujen tiedostojen käyttöoikeuden palauttamista. Nykyaikaiset kiristysohjelmaryhmät varastavat tyypillisesti dataa ennen salaamistaan ja uhkaavat sitten julkaista tai myydä tiedot, jos maksua ei suoriteta. Tämä kaksoiskiristysmalli nostaa panoksia huomattavasti yksityisyyden kannalta. Asiakastiedot, työntekijöiden tiedot ja luottamukselliset liiketoimintatiedot voivat päätyä julkisuuteen riippumatta siitä, maksaako yritys vai ei. Hyökkääjät ovat myös tulleet taitavammiksi välttämään havaitsemista tunkeutumisvaiheen aikana, mukaan lukien tekniikat, jotka poistavat suojaus työkalut käytöstä kokonaan, kuten raportoinnissa GodDamn-kiristysohjelman väärinkäytöstä allekirjoitetun ajurin avulla tappaakseen virustorjuntaohjelmistoja on nähty. Tällainen salamyhkäisyys tarkoittaa, että tietomurto voi jäädä huomaamatta paljon pidempään, mikä antaa hyökkääjille enemmän aikaa viedä arkaluonteista dataa ennen kuin kukaan edes ymmärtää, että jotain on vialla.

Mitä tämä tarkoittaa sinulle

Jos johdat tai työskentelet keskisuuressa yrityksessä, Delta Crisisin viesti on selvä: kiristysohjelmavalmiudet eivät ole enää valinnaisia, ja ne alkavat hyvissä ajoin ennen hyökkäyksen tapahtumista. Perushygienia, offline-varmuuskopiot, testatut tietoturvapoikkeamasuunnitelmat ja henkilöstön koulutus sosiaalista manipulointia vastaan ovat edelleen vahvin puolustus. Jos hyökkäys kuitenkin tapahtuu, päätöstä siitä, neuvotellaanko ja miten, ei tulisi koskaan tehdä yksin tai paniikissa. Kokeneet neuvottelijat ymmärtävät hyökkääjän psykologiaa, varmistavat väitteet ennen kuin luottavat niihin, ja osaavat ostaa aikaa eskaloimatta uhkia varastettua dataa kohtaan.

Henkilöille, joiden data saattaa olla yrityksen järjestelmissä, tämä korostaa myös sitä, miksi organisaatioiden on oltava asiakkailleen avoimia tietomurron sattuessa, koska kiristysohjelmaneuvottelut vaikuttavat suoraan siihen, pysyvätkö henkilökohtaiset tiedot yksityisinä vai päätyvätkö ne vuotamaan.

Keskeiset huomiot

Kaikenkokoisten yritysten tulisi kohdella kiristysohjelmia "milloin", ei "jos", -skenaariona. Rakenna tietoturvapoikkeamasuunnitelma ennen hyökkäystä, pidä testatut offline-varmuuskopiot ja määrittele etukäteen, kuka hoitaa viestinnän, jos kiristäjät ottavat yhteyttä. Kouluta henkilöstöä tunnistamaan sosiaalisen manipuloinnin yritykset, erityisesti esiintymisen arkisten yhteistyötyökalujen kautta. Jos neuvottelu tulee tarpeelliseksi, ota mukaan kokeneita ammattilaisia improvisoinnin sijaan, koska tapa, jolla yritys vastaa ensimmäisinä tunteina, voi muokata sekä taloudellista lopputulosta että sitä, kuinka paljon henkilökohtaista tai yrityksen dataa lopulta altistuu.