Mitä uudet lunnaiden maksamista koskevat tiedot osoittavat

Tietoturvayhtiö Proofpointin keskiviikkona julkaisema uusi raportti tuo epämiellyttävän vahvistuksen kaikille, jotka ovat koskaan harkinneet lunnaiden maksamista ransomware-jengille ongelman hävittämiseksi: merkittävä osa maksajista päätyy kohtaamaan toisen kiristysvaatimuksen. Raportti vahvistaa sen, mistä tietoturvatutkijat ja tapahtumiin reagoivat asiantuntijat ovat varoittaneet vuosia – lunnaisiin liittyvät neuvottelut eivät käydä vilpittömässä mielessä, eikä maksaminen takaa, että hyökkääjä todella poistuu paikalta.

Proofpointin aineisto tarjoaa kovia lukuja kaavalle, jota puolustajat ovat pitkään epäilleet tapauskohtaisten havaintojen perusteella. Lunnaat maksavat organisaatiot eivät osta asian päättymistä. He usein ostavat samalle hyökkääjälle – tai aivan toiselle ryhmälle – uuden vipuvarren tulla takaisin ja pyytää lisää.

Miksi lunnaiden maksaminen kutsuu toisen hyökkäyksen

Toistuvan kiristyksen logiikka on suoraviivaista, kun sitä ajattelee hyökkääjän näkökulmasta. Koko ransomware-ryhmän liiketoimintamalli perustuu siihen, että uhrit uskovat maksun päättävän kriisin. Mutta mitään laillista sopimusta, täytäntöönpanomekanismia tai maineriskiä ei ole olemassa, joka olisi tarpeeksi vahva takaamaan hyökkääjän sanan sen jälkeen, kun rahat on siirretty. Jos uhri on jo osoittanut halukkuutta ja kykyä maksaa, hänestä tulee entistä houkuttelevampi kohde, ei hoidettua tiliä.

Osittain tästä syystä tietoturvatutkijat kuvaavat lunnaisiin liittyvää neuvottelua perustavanlaatuisesti erilaiseksi kuin normaalia liiketoimea. Vastapuolella ei ole mitään kannustinta todella poistua. Onnistuneesti maksun kerran kiristänyt rikollisryhmä voi aivan hyvin testata, maksaako sama organisaatio uudelleen – olipa kyse järjestelmien uudelleensalaamisesta, aiemmin varastettujen tietojen vuotamisella uhkailusta uudestaan tai yksinkertaisesti uuden, alkuperäiseen tietomurtoon liittyvän vaatimuksen avaamisesta.

Tämä dynamiikka liittyy läheisesti siihen, mitä alalla kutsutaan kaksinkertaiseksi tai moninkertaiseksi kiristykseksi, jossa hyökkääjät eivät ainoastaan salaa tiedostoja vaan myös varastavat tietoja etukäteen, antaen heille useita painostuspisteitä, joilla puristaa uhria vielä lunnaiden maksamisen jälkeenkin. Proofpointin havainnot viittaavat siihen, että kaivo ei välttämättä kuivu edes onnistuneen alkupainostuksen jälkeen.

Kuinka huomaamattomat tietomurrot helpottavat uudelleenkiristystä

Yksi syy siihen, miksi toistuva kiristys toimii hyökkääjille niin hyvin, on se, että monet uhrit eivät täysin ymmärrä tietomurron laajuutta siinä vaiheessa, kun päättävät maksaa. Jos organisaatio havaitsee salatut tiedostot ja neuvottelee lunnaista ensin selvittämättä tarkalleen, mitä tietoja on käytetty, kopioitu tai jätetty takaoveksi, se on käytännössä suostunut hintaan tietämättä, mitä sillä rahalla varsinaisesti ostaa takaisin.

Tämä havaitsemisen ja reagoinnin välinen kuilu on toistuva teema kiristyshaittaohjelmia käsittelevässä tutkimuksessa. Kuten aiheeseen liittyvässä raportissa kiristyshaittaohjelmien havaitsemisen epäonnistumisista kerrotaan, lähes puolet kaikista uhreista menettää tietoja ennen kuin edes huomaa hyökkäyksen olevan käynnissä. Tällä viiveellä on valtava merkitys: jos uhri ei tiedä, että hyökkääjä vei tietoja viikkoja ennen kiristysohjelman käynnistämistä, tiedostojen avaamisesta maksaminen ei vaikuta millään tavalla rikollisella palvelimella oleviin varastettuihin tietoihin. Ne voidaan uudelleenrahastaa uudella vaatimuksella, myydä erikseen tai käyttää tuoreeseen vuotouhkaukseen myöhemmin.

Suojautumiskeinot: varmuuskopiot, valvonta ja tapahtumienhallinnan suunnittelu

Proofpointin raportin käytännön opetus ei ole, ettei lunnaita pitäisi koskaan missään olosuhteissa maksaa. Opetus on, ettei maksua tulisi koskaan pitää taattuna ratkaisuna. Organisaatioiden – ja yksityishenkilöiden, jotka hallinnoivat pienempiä verkkoja tai yrityksiä – kannattaa panostaa ennaltaehkäisyyn ja havaitsemiseen neuvottelun sijaan.

Tämä tarkoittaa säännöllisten, testattujen ja verkon ulkopuolella olevien varmuuskopioiden ylläpitoa, jotta salatut tiedostot voidaan palauttaa maksamatta kenellekään. Se tarkoittaa panostamista valvontatyökaluihin, jotka pystyvät havaitsemaan luvattoman tietojen käytön ennen kuin hyökkääjät ehtivät viedä suuria määriä arkaluonteisia tietoja. Ja se tarkoittaa tapahtumienhallintasuunnitelman laatimista ennen hyökkäystä – suunnitelman, joka sisältää oikeuslääketieteellisen tutkinnan sen selvittämiseksi, mitä tietoihin on päästy, eikä pelkästään sitä, onko tiedostot salattu.

Mitä tämä tarkoittaa sinulle

Pienyrittäjille ja yksityishenkilöille tämän tutkimuksen viesti on selvä: älä oleta, että lunnaiden maksaminen on se nopea ja siisti ratkaisu, jolta se sillä hetkellä näyttää. Hyökkääjillä, jotka ovat jo kerran osoittaneet olevansa valmiita kiristämään sinua, on sekä keinot että motiivi tehdä se uudelleen. Todellinen puolustus ransomware-toistokiristyshyökkäyksiä vastaan ei ole parempi neuvottelustrategia, vaan sen todennäköisyyden vähentäminen, että joudut alun perinkään siihen tilanteeseen – vahvojen varmuuskopioiden, nopeamman havaitsemisen ja selkeän toimintasuunnitelman avulla.

Konkreettiset toimenpiteet

  • Käsittele lunnaiden maksua viimeisenä keinona, ei taattuna korjauksena, sillä Proofpointin tiedot osoittavat hyökkääjien palaavan usein uusilla vaatimuksilla.
  • Priorisoi verkon ulkopuoliset ja testatut varmuuskopiot, jotta pelkkä salaaminen ei voi pakottaa maksupäätökseen.
  • Sijoita valvontatyökaluihin, jotka havaitsevat tietojen viennin varhain, sillä viivästynyt havaitseminen antaa hyökkääjille enemmän vipuvartta toistuvaan kiristykseen.
  • Laadi tapahtumienhallintasuunnitelma ennen hyökkäystä, mukaan lukien oikeuslääketieteelliset vaiheet tietomurron koko laajuuden selvittämiseksi.
  • Oleta, että kaikki ennen lunnaiden maksamista varastetut tiedot ovat riski tulevaisuudessa riippumatta siitä, mitä hyökkääjät lupaavat.