Uudet tiedot vahvistavat: kiristysohjelmamaksuilla ei osteta pysyvää turvaa
The Registerin esiin nostama ja SC Median lyhyessä katsauksessa käsitelty tuore raportointi lisää kasvavaan todistusaineistoon siitä, että kiristysohjelmien lunnaiden maksaminen ei luotettavasti estä uusia hyökkäyksiä. Maksaneet organisaatiot joutuvat usein uudelleen kohteeksi – joskus saman rikollisryhmän, toisinaan täysin toisen, joka on saanut tietää uhrin olevan valmis maksamaan. Tämä kaava on nousemassa esiin, vaikka koordinoidut lainvalvontaoperaatiot, kuten Operation Cronos, purkavat suuria kiristysohjelmatoimijoita sisältäpäin.
Johtopäätös on suoraviivainen, mutta monelle organisaatiolle epämiellyttävä: kiristysohjelmamaksut ja toistuvat hyökkäykset liittyvät tiiviisti yhteen – ei siksi, että maksu takaisi turvaa, vaan koska se viestii hyökkääjille, että kohde on tuottoisa ja valmistautumaton.
Miksi maksaminen luo valheellisen turvallisuudentunteen
Kun yritys on lukittu pois järjestelmistään tai sitä uhataan julkisella tietovuodolla, lunnaiden maksaminen voi tuntua nopeimmalta tieltä takaisin normaaliin toimintaan. Mutta uudet tiedot vahvistavat sen, mitä tietoturvatutkijat ovat sanoneet jo vuosia: maksu on liiketoimi, ei tae. Kiristyshaittaohjelmajengit ovat rikollisia yrityksiä, eikä ole olemassa täytäntöönpanokelpoista sopimusta siitä, että tiedot poistetaan, salauksen purkuavaimet todella toimivat tai ettei samoja haavoittuvuuksia hyödynnetä uudelleen.
Usein maksavat organisaatiot tekevät niin, koska niiltä puuttuvat kunnolliset varmuuskopiot, häiriötilanteiden toimintasuunnitelmat tai sisäinen osaaminen järjestelmien nopeaan uudelleenrakentamiseen. Samat taustalla olevat heikkoudet ovat yleensä yhä paikallaan lunnaiden maksamisen jälkeenkin, mikä tarkoittaa, että ovi, josta hyökkääjät alun perin pääsivät sisään, on usein edelleen auki. Maksaminen hoitaa välittömän kriisin, ei perimmäistä syytä.
Juuri tästä syystä Proofpoint-tutkimuksessa havaittiin, että kiristäjille maksaminen kostautuu paljon useammin kuin uhrit odottavat. Tutkimus antoi varoitukselle konkreettiset luvut ja osoitti, että merkittävä osa maksaneista organisaatioista koki silti tietojen menetyksiä, uusia kiristysyrityksiä tai toistuvia tietomurtoja.
Miten kiristyshaittaohjelmajengit tunnistavat aiemmin maksaneet ja iskevät heihin uudelleen
Kiristysohjelmatoiminta muistuttaa yhä enemmän liiketoimintaa: siihen kuuluu kumppaniverkostoja, asiakastukea uhreille ja jaettua tietoa siitä, mihin kohteisiin kannattaa hyökätä. Kun organisaatio maksaa, tämä tieto voi levitä rikollisryhmien kesken – joko suoran tiedonjaon, verkkopääsyn myynnin tai yksinkertaisesti maanalaisilla foorumeilla kertyneen maineen kautta.
Nopeasti ja ilman merkittävää vastarintaa maksavasta uhrista tulee tunnettu määrä: helppo kohde, jolla on osoitettu olevan valmius luovuttaa rahaa. Silloinkin kun lainvalvontatoimet kuten Operation Cronos onnistuvat häiritsemään tiettyä kiristysohjelmainfrastruktuuria, taustalla oleva pääsynvälittäjien ekosysteemi, varastetut tunnistetiedot ja korjaamattomat haavoittuvuudet, jotka johtivat alkuperäiseen murtoon, ovat usein yhä muiden uhkatoimijoiden hyödynnettävissä. Yhden jengin häirintä ei välttämättä suojaa aiempaa uhria toiselta, joka käyttää hyväkseen samoja heikkouksia.
Käytännön puolustuskeinot: varmuuskopiot, segmentointi ja VPN-suojauksen vahvistaminen
Aineiston selkein opetus on, että ennaltaehkäisy ja resilienssi ovat neuvottelua tärkeämpiä. Muutamalla käytännön toimenpiteellä on mitattava ero:
- Ylläpidä offline-tilassa olevia, testattuja varmuuskopioita. Verkosta irrotetut varmuuskopiot, joiden palautus testataan säännöllisesti, ovat tehokkain yksittäinen keino välttää maksupakko kokonaan.
- Segmentoi verkot. Hyökkääjän liikkumismahdollisuuksien rajoittaminen sisäänpääsyn jälkeen pienentää minkä tahansa yksittäisen vaarantuneen tilin tai laitteen räjähdysvaikutusta.
- Koveta etäyhteydet. VPN:t ja etätyöpöytätyökalut ovat yleisiä sisäänpääsyreittejä kiristysohjelmille. Monivaiheisen tunnistautumisen pakottaminen, VPN-ohjelmistojen pikainen päivittäminen ja käyttämättömien etäyhteyspisteiden sulkeminen poistaa hyökkääjältä helpon jalansijan.
- Laadi häiriötilanteiden toimintasuunnitelma ennen hyökkäystä. Kun tiedät, kenelle soittaa, miten eristää vahingoittuneet järjestelmät ja miten viestiä sidosryhmille, vähennät painetta maksaa vain saadaksesi ongelman nopeasti pois silmistä.
Mitä tämä tarkoittaa sinulle
Huolehditpa sitten pienen yrityksen IT:stä tai omista laitteistasi, aineiston viesti on sama: älä oleta, että maksu on turvaverkko. Jos organisaatiosi koskaan kohtaa kiristysohjelmavaatimuksen, käsittele tapausta merkkinä siitä, että tietoturvassa on aukkoja – älä neuvotteluna, joka hoidetaan ja unohdetaan. Organisaatiot, joilla on parhaat edellytykset toipua nopeasti ja välttää joutuminen toistuvaksi uhriksi, ovat niitä, jotka investoivat varmuuskopioihin, verkonvalvontaan ja pääsynhallintaan jo ennen hyökkäystä sen sijaan, että ne reagoisivat hädissään vasta jälkikäteen.
Keskeiset havainnot
- Uudet tiedot osoittavat, että kiristysohjelmamaksut ja toistuvat hyökkäykset kulkevat usein käsi kädessä, mikä horjuttaa oletusta siitä, että maksaminen ratkaisee uhan.
- Yksittäisiin jengeihin kohdistuvat lainvalvontatoimet eivät poista sitä laajempaa haavoittuvuuksien ekosysteemiä, joka johti alkuperäiseen hyökkäykseen.
- Offline-varmuuskopiot, verkon segmentointi ja kovennetut etäyhteydet ovat luotettavampia puolustuksia kuin mikään lunnaita koskeva neuvottelu.
- Organisaatioiden tulisi laatia häiriötilannesuunnitelmat nyt eikä vasta aktiivisen hyökkäyksen aikana.
Kiristysohjelmat eivät ole katoamassa, mutta päätöstä maksaa ei pidä kohdella pikaratkaisuna. Ennaltaehkäisyn, palautuskykyisten varmuuskopioiden ja turvallisten etäyhteyksien priorisointi on yhä tehokkain tapa pitää tietosi – ja organisaatiosi – poissa hyökkääjien tähtäimestä.
