Miksi lunnaiden maksaminen ei päätä ongelmaa
Kun kiristyshaittaohjelma lukitsee yrityksen järjestelmät, on ymmärrettävää haluta maksaa ja jatkaa eteenpäin. Tietoturvayhtiö Proofpointin uusi, 953 yritystä kattava kyselytutkimus antaa ymmärtää, että tuo vaisto voi kostautua. Tulosten mukaan organisaatioista, jotka maksavat kiristysvaatimuksen, tulee usein entistä houkuttelevampia kohteita – eivät vähemmän houkuttelevia. Kun rikollisryhmä on varmistanut, että uhri on valmis maksamaan, sama uhri voidaan merkitä seurantahyökkäystä varten.
Tällä on merkitystä, sillä lunnaiden maksamisen logiikka on aina perustunut yksinkertaiseen vaihtokauppaan: rahaa vastaan asia saadaan päätökseen. Johto hyväksyy maksut uskoen, että järjestelmät palautuvat, varastetut tiedot poistetaan, liiketoiminnan keskeytykset jäävät vähäisiksi ja asiakkaat pysyvät suojassa. Proofpointin tutkimus osoittaa, että tämä kaupankäynti on paljon epäluotettavampaa kuin useimmat organisaatiot olettavat. Maksaminen ei välttämättä päätä suhdetta hyökkääjään; joissakin tapauksissa se synnyttää uuden.
Toisen vaatimuksen liiketoimintalogiikka
Ransomware-ryhmät toimivat kuin yritykset, ja yritykset etsivät kanta-asiakkaita. Yritys, joka on jo osoittanut maksavansa, on rikollisen näkökulmasta todistetusti tuottava tulonlähde. Sillä on käyttöpääomaa, johto, joka on valmis hyväksymään maksun nopeasti, ja oletettavasti yhä ne samat haavoittuvuudet, joiden ansiosta ensimmäinen hyökkäys alun perin onnistui.
Viimeinen kohta on ratkaiseva. Lunnaiden maksaminen ratkaisee välittömän kriisin, mutta se korjaa harvoin niitä taustalla olevia tietoturva-aukkoja, jotka päästivät hyökkääjät sisään. Jos sama tietojenkalastelukanava, päivittämätön ohjelmisto tai paljastettu etäyhteyspiste on yhä olemassa tapauksen jälkeen, mikään ei estä samaa ryhmää – tai kumppania, joka osti pääsyn saman uhrin tietoihin – yrittämästä uudelleen. Aiempi katsauksemme Proofpointin tutkimukseen lunnaita maksaneista pureutuu syvemmälle siihen, kuinka usein näitä toistuvia tapauksia esiintyy ja miksi itse maksu voi toimia signaalina muille rikollisryhmille siitä, että kohde on helppo.
Kiristysriskin vähentäminen jo ennen sen syntymistä
Hyvä uutinen on, etteivät organisaatiot ole tässä voimattomia. Toimenpiteet, jotka vähentävät kiristyshaittaohjelmariskiä, ovat pitkälti samoja, joita tietoturvatiimit ovat suositelleet vuosien ajan – niillä on vain entistä suurempi kiire näiden tietojen valossa.
Offline-varmuuskopioiden ylläpitäminen ja testaaminen on yhä tehokkain yksittäinen keino välttää koko maksaako-vai-ei-maksa -päätöstilanne. Jos järjestelmät voidaan palauttaa varmuuskopiosta ilman hyökkääjän salauksenpurkuavainta, koko kiristyksen perusajatus romahtaa. Myös verkon segmentoinnilla on merkitystä: sen rajoittaminen, kuinka pitkälle hyökkääjä pääsee sisälle päästyään, pienentää minkä tahansa yksittäisen murron vaikutusaluetta, mikä puolestaan vähentää vipuvoimaa lunnasneuvotteluissa.
Jatkuva uhkien valvonta ja päätelaitteiden havaitseminen auttavat tunnistamaan tunkeutumiset ennen kuin ne laajenevat täysimittaisiksi salauksiksi. Monet kiristyshaittaohjelmahyökkäykset kehittyvät päivien tai viikkojen aikana siitä, kun hyökkääjä on saanut alkuperäisen pääsyn, lopulliseen hyötykuormaan; tuo aikaikkuna tarjoaa mahdollisuuden puuttua tilanteeseen. Turvalliset etäkäytännöt, mukaan lukien VPN:n käyttö salattuihin yhteyksiin ja monivaiheinen todennus kaikille yritysverkon ulkopuolelta kirjautuville, sulkevat yhden yleisimmistä rikollisten hyödyntämistä sisäänpääsyreiteistä. Mikään näistä toimenpiteistä ei takaa koskemattomuutta, mutta yhdessä ne pienentävät todennäköisyyttä sille, että yritys joutuu ylipäätään kohtaamaan lunnasviestin.
Mitä tämä tarkoittaa sinulle
Jos organisaatiosi joutuu joskus kiristyshaittaohjelman kohteeksi, Proofpointin havainnot viittaavat siihen, ettei maksamista kannata pitää puhtaana ratkaisuna. Ennen minkään maksun hyväksymistä on syytä kysyä, onko taustalla oleva haavoittuvuus tunnistettu ja suljettu, sillä jos näin ei ole, maksu voi olla vain ensimmäinen erä jatkuvassa suhteessa hyökkääjään.
Tämä on myös hetki ottaa lainvalvontaviranomaiset mukaan varhaisessa vaiheessa eikä vasta jälkikäteen. Ransomware-ryhmiä seuraavilla virastoilla voi joskus olla tarjota salauksenpurkuvälineitä, uhkatiedustelutietoa tietyn joukkion toimintatavoista tai taustatietoa siitä, onko ryhmällä historiaa toistuvasta kiristyksestä. Ulkopuolisen haavoittuvuuden hallinnan asiantuntemuksen tuominen mukaan ennen maksupäätöstä – ei sen jälkeen – antaa organisaatiolle selkeämmän kuvan todellisista vaihtoehdoistaan.
Pienemmille yrityksille, joilla ei ole omia tietoturvatiimejä, laskelma on samankaltainen, mutta resurssit ovat niukemmat. Tämä tekee ennaltaehkäisystä entistäkin tärkeämpää: perushygienia, kuten säännölliset varmuuskopiot, päivitetyt ohjelmistot ja turvalliset etäyhteydet, vähentää riskiä enemmän kuin mikään tapauksen jälkeinen päätös koskaan voi.
Keskeiset opit
Tämän Proofpointin tutkimuksen ydinoppi on selkeä: lunnaiden maksaminen ostaa aikaa, ei välttämättä turvallisuutta. Organisaatioiden tulisi käsitellä jokaista kiristyshaittaohjelmatapausta todisteena tietoturva-aukosta, joka on korjattava, riippumatta siitä, maksetaanko lunnaita vai ei. Käytännön toimenpiteitä, joita kannattaa priorisoida, ovat muun muassa offline-varmuuskopioiden ylläpito, verkkojen segmentointi, varhaisten tunkeutumismerkkien valvonta ja etäyhteyksien suojaaminen vahvalla tunnistautumisella ja salatuilla yhteyksillä.
Tärkeintä on, että mahdollinen maksupäätös on tehtävä samanaikaisesti vakavan korjaussuunnitelman rinnalla, ei sen sijasta. Kiristyshaittaohjelmajengit pyörittävät liiketoimintaa, ja datan perusteella ne tietävät tarkalleen, mitkä asiakkaat kannattaa laskuttaa kahdesti.
