Kiristysohjelmien uhrit, jotka maksavat toivoen ongelman katoavan, pettyvät usein. Äskettäin julkaistu maailmanlaajuinen tutkimus, AI-Era Ransomware Report, kysyi lähes 1 000:lta tietoturva-ammattilaiselta 12 markkina-alueella ja havaitsi, että lunnaiden maksaminen on kaukana taatusta ratkaisusta. Havainnot antavat uutta painoarvoa varoitukselle, jota tietoturvatutkijat ovat toistaneet vuosia: kiristysohjelmien toistuvat lunnaiden maksut ovat todellinen ja kasvava riski, eivät harvinainen erikoistapaus.

Mitä AI-Era Ransomware Report paljasti

Kysely antaa karun kuvan siitä, miten organisaatiot toimivat kiristysohjelmahyökkäyksen jälkeen. Yli puolet hyökkäyksen kokeneista organisaatioista, 54 %, päätyi maksamaan lunnaat yrittäessään palauttaa arkaluonteisia tietojaan. Maksaneista 56 % sai takaisin pääsyn tiedostoihinsa tai järjestelmiinsä. Mutta vielä huolestuttavampi luku on se, mitä tapahtui seuraavaksi: yli kolmasosa uhreista, 37 %, sai toisen kiristysvaatimuksen ensimmäisen maksamisen jälkeen.

Jo tämän tilaston pitäisi muuttaa sitä, miten organisaatiot ajattelevat kiristysohjelmiin vastaamisesta. Maksaminen ei ole kertaluonteinen tapahtuma, joka päättää tapauksen. Yli kolmasosalle tämän tutkimuksen uhreista se oli yksinkertaisesti avaus pidempään ja kalliimpaan kierteeseen.

Miksi maksaminen ei takaa turvallisuutta tai tietojen palautumista

Tässä kannattaa pysähtyä matematiikan äärelle. Jopa maksaneista organisaatioista lähes puolet ei saanut tietojaan täysin palautettua. Ja suuri osa niistä, jotka saivat tiedostonsa takaisin, joutui uudelleen kohteeksi – joko saman hyökkääjän vaatiessa lisää rahaa tai eri ryhmän, joka näki maksun todisteena siitä, että uhri oli valmis neuvottelemaan.

Tämä malli on linjassa muun tuoreen tutkimuksen kanssa. Proofpointin kysely, josta vpn.social raportoi, havaitsi vastaavasti, että kiristysohjelmajengien maksaminen kostautuu usein, ja merkittävä osa maksavista uhreista kohtaa uusia kiristysyrityksiä. Kun organisaatio maksaa, se voi päätyä vahvistettujen maksajien listalle, joka kiertää rikollisryhmien keskuudessa ja tekee organisaatiosta houkuttelevamman kohteen tuleville hyökkäyksille – ei vähemmän houkuttelevan.

Kiristysohjelmaneuvotteluissa ei myöskään ole sitovaa sopimusta. Hyökkääjillä ei ole juridisia tai maineellisia kannustimia pitää kiinni sopimuksen omasta puolestaan, kun rahat on siirretty. Salauksenpurkuavaimet voivat olla puutteellisia, bugisia tai niitä ei toimiteta lainkaan. Varastetut tiedot, joita käytettiin vipuvartena, voidaan silti myydä, vuotaa tai pitää toista kiristyskierrosta varten riippumatta siitä, mitä luvattiin.

Ennaltaehkäisyn vaihtoehdot: varmuuskopiot, salaus ja verkon segmentointi

Näiden lukemien valossa kestävämpi strategia on vähentää mahdollisuutta, että joudut lainkaan päättämään maksamisesta. Muutama käytäntö nousee jatkuvasti esiin tehokkaina puolustuskeinoina:

  • Ylläpidä offline-varmuuskopioita ja testaa niitä. Varmuuskopiot, jotka on irrotettu pääverkosta ja joita testataan säännöllisesti palautuksen osalta, tarkoittavat, että organisaatio voi palautua ilman neuvotteluja hyökkääjän kanssa.
  • Salaa arkaluonteiset tiedot levossa ja siirron aikana. Vaikka hyökkääjät veisivät tiedostoja, vahva salaus rajoittaa sitä, mitä he voivat oikeasti käyttää tai myydä, vähentäen datavuodon uhkauksen vipuvartta.
  • Segmentoi verkot. Jakamalla järjestelmät eristettyihin alueisiin rajoitetaan sitä, kuinka pitkälle kiristysohjelma voi levitä päästyään alun perin sisään, pitäen vahingot pienemmässä osassa organisaatiota.
  • Asenna päivitykset ja valvo johdonmukaisesti. Monet kiristysohjelmatunkeutumiset hyödyntävät edelleen tunnettuja, korjaamattomia haavoittuvuuksia tai heikkoja etäkäyttöoikeuksien tunnistetietoja, joten perushygienia sulkee pois suuren osan sisäänpääsyreiteistä.

Mikään näistä toimenpiteistä ei tee organisaatiosta immuunia hyökkäyksille, mutta yhdessä ne pienentävät sekä onnistuneen tietomurron todennäköisyyttä että painetta maksaa, jos sellainen tapahtuu.

Toimintasuunnitelman rakentaminen ennen hyökkäystä

Organisaatiot, jotka selviytyvät parhaiten kiristysohjelmatapauksen jälkeen, ovat yleensä niitä, jotka olivat jo harjoitelleet vastaustaan ennen hyökkäystä. Tämä tarkoittaa dokumentoitua suunnitelmaa, joka määrittelee, kuka tekee päätöksen maksamisesta, kenelle lakiasioiden ja lainvalvonnan yhteyshenkilöille ilmoitetaan, miten viestintä työntekijöille ja asiakkaille hoidetaan sekä miten järjestelmät eristetään ja palautetaan.

Harjoitustilanteet, joissa henkilökunta käy läpi simuloidun hyökkäysskenaarion, auttavat tuomaan esiin suunnitelman aukot, kun mitään todellista painetta ei ole. Se myös nopeuttaa varsinaista vastausta, kun tapaus sattuu, lyhentäen altistumisikkunaa ja vähentäen kiusausta maksaa yksinkertaisesti siksi, että mikään muu vaihtoehto ei näytä olevan valmiina.

Mitä tämä tarkoittaa sinulle

IT-johtajille ja tietoturvatiimeille tämä raportti on muistutus siitä, että kiristysohjelmien toistuvat lunnaiden maksut ovat niin yleisiä, että ne on otettava huomioon suunnittelussa – eivätkä ne ole pahin mahdollinen poikkeustapaus. Kohtele lunnaiden maksamista viimeisenä keinona, jolla on todellinen epäonnistumisen mahdollisuus, älä luotettavana vakuutuksena. Budjetoi ennaltaehkäisyyn (varmuuskopiot, segmentointi, valvonta) samalla tavalla kuin budjetoisit mihin tahansa muuhun ydinfrastruktuurin kustannukseen, koska luvut viittaavat siihen, että se on pitkällä aikavälillä halvempaa kuin toistuvat neuvottelut hyökkääjien kanssa.

Yksittäisille käyttäjille ja pienemmille organisaatioille ilman omaa tietoturvatiimiä samat periaatteet skaalautuvat alas: pidä offline-kopio kaikesta korvaamattomasta, käytä salausta silloin kun se on saatavilla, ja tiedä etukäteen, keneen ottaisit yhteyttä, jos järjestelmäsi lukittaisiin.

Keskeiset huomiot

  • 54 % kyselyyn osallistuneista organisaatioista, jotka kärsivät kiristysohjelmahyökkäyksestä, maksoi lunnaat, mutta vain 56 % maksajista sai täyden pääsyn tietoihinsa takaisin.
  • 37 % maksaneista organisaatioista sai toisen kiristysvaatimuksen, mikä osoittaa, että maksaminen ei lopeta riskiä.
  • Offline-varmuuskopiot, salaus ja verkon segmentointi vähentävät sekä onnistuneen hyökkäyksen todennäköisyyttä että painetta maksaa.
  • Testattu toimintasuunnitelma, joka on rakennettu ennen hyökkäystä, lyhentää palautumisaikaa ja vähentää riippuvuutta lunnaiden maksamisesta.
  • Lukijat voivat tarkastella Proofpointin kyselyn tuloksia saadakseen lisää vahvistavaa dataa siitä, kuinka usein lunnaiden maksaminen epäonnistuu hyökkäyksen ratkaisemisessa.