Mitä uudet tiedot kiristyshaittaohjelmien toistuvasta kiristyksestä osoittavat

Tuoreet luvut, jotka Connor Jones on raportoinut DataBreaches.Net-sivustolla, vahvistavat sen, mitä tietoturvatutkijat ovat epäilleet vuosia: kiristyshaittaohjelmaryhmälle maksaminen ei päätä koettelemusta, vaan merkitsee usein vasta toisen kierroksen alkua. Raportissa siteerattujen tutkimustietojen mukaan 58 prosenttia kyseeseen tulleista Yhdistyneen kuningaskunnan organisaatioista päätti maksaa lunnasvaatimuksen viime vuonna. Maksaneista 22 prosenttiin iskettiin uudelleen – sama tai eri rikollisryhmä vaati toista maksua.

Se tarkoittaa, että noin yksi viidestä organisaatiosta, joka teki vaikean päätöksen maksaa, ei saanut rahoilleen mitään pysyvää. Kiristyssykli yksinkertaisesti käynnistyi alusta, joskus viikkojen sisällä. Tämä toistuvien kiristysmaksujen malli on muodostumassa nykyisen uhkakentän määritteleväksi piirteeksi, ja se pakottaa tietoturvatiimit ja johtajat arvioimaan uudelleen koko laskelmoinnin siitä, onko maksaminen koskaan järkevä reaktio.

Miksi kerran maksaminen kutsuu toisen hyökkäyksen

Toistuvan kiristyksen logiikka on rikollisen näkökulmasta suoraviivainen. Kun organisaatio osoittaa olevansa valmis maksamaan, siitä tulee merkitty kohde. Kiristyshaittaohjelmien ylläpitäjät pitävät kirjaa siitä, mitkä uhrit taipuivat, kuinka nopeasti he maksoivat ja kuinka paljon he olivat valmiita antamaan. Nämä tiedot kiertävät usein kumppaniverkostoissa, ja niitä myydään tai jaetaan toisinaan rikollisryhmien välillä, jotka toimivat ransomware-as-a-service -mallilla.

500 000 dollaria kerran maksanut uhri on käytännössä viestittänyt, että sillä on sekä käteisvaroja että riskinsietokykyä maksaa uudelleen. Hyökkääjät tietävät, että toinen tunkeutuminen – jopa vähemmän kehittynyt – onnistuu hyvin todennäköisesti, jos alkuperäisen murron mahdollistaneita haavoittuvuuksia ei ole koskaan täysin korjattu. Monissa kaksin- ja kolminkertaisen kiristyksen tapauksissa varastettuja tietoja ei edes poisteta maksun jälkeen – lupauksista huolimatta –, joten ovi on auki seurantavaatimukselle, joka uhkaa samojen varastettujen tietojen julkaisemisella.

Juuri tästä syystä lainvalvontaviranomaiset, FBI mukaan lukien, ovat johdonmukaisesti neuvoneet olemaan maksamatta lunnaita. Maksu ei takaa tietojen palautumista, ei varastettujen tiedostojen poistamista, eikä – kuten nämä uudet tiedot osoittavat – sitä, että hyökkääjät pysyvät poissa.

Ennakoivat puolustukset, jotka vähentävät kiristyshaittaohjelmariskiä

Jos maksaminen ei ratkaise ongelmaa luotettavasti, kestävämpi tie on pienentää onnistuneen tietomurron todennäköisyyttä alun perin. Useat puolustuskerrokset näkyvät toistuvasti poikkeamien hallinnan havainnoissa erona hallitun tapauksen ja katastrofaalisen välillä.

Verkon segmentointi rajoittaa sitä, kuinka pitkälle hyökkääjä pystyy liikkumaan saatuaan alustavan jalansijan. Yhden tasaisen verkon sijaan, jossa yksi vaarantunut tunnus avaa pääsyn kaikkeen, segmentoidut ympäristöt pakottavat hyökkääjät taistelemaan jokaisesta lisäsenttimetristä, mikä antaa puolustajille aikaa havaita ja reagoida.

Zero trust -pääsynhallinta olettaa, ettei mikään käyttäjä tai laite ole automaattisesti luotettava edes yrityksen sisäverkossa. Jokainen käyttöpyyntö todennetaan, minkä ansiosta pelkät varastetut tunnukset eivät riitä avaamaan kriittisiä järjestelmiä.

Luotettavat, testatut ja offline-tilassa säilytettävät varmuuskopiot ovat edelleen yksi tehokkaimmista käytettävissä olevista kiristyshaittaohjelmapuolustuksista. Salatut tiedostot menettävät vipuvoimansa, kun organisaatio pystyy palauttamaan toimintansa puhtaista varmuuskopioista neuvottelematta kenenkään kanssa. Avainsana on testattu: varmuuskopiot, joita ei ole varmennettu todellisilla palautusharjoituksilla, pettävät usein juuri silloin, kun niitä eniten tarvitaan.

Monivaiheinen tunnistautuminen, internetiin päin avoimien järjestelmien oikea-aikainen päivitys ja jatkuva valvonta epätavallisen liikkumisen varalta verkossa täydentävät perustan, joka erottaa nopeasti toipuvat organisaatiot niistä, jotka päätyvät kohtaamaan toisen kiristysvaatimuksen.

Mitä organisaatioiden tulisi tehdä maksamisen sijaan

Kun kiristyshaittaohjelmatapaus tapahtuu, nopean maksamisen ja ongelman katoamisen vaisto on ymmärrettävä, erityisesti asiakkaiden, sääntelijöiden tai hallituksen painostaessa nopeaa ratkaisua. Toistuvan kiristyksen tiedot kuitenkin osoittavat selvästi, ettei maksaminen ole luotettava irtautumisstrategia. Organisaatiot hyötyvät enemmän siitä, että ne ottavat lainvalvontaviranomaiset aikaisin mukaan, käyttävät poikkeamien hallinnan ammattilaisia, jotka pystyvät arvioimaan tietoaltistuksen todellisen laajuuden, ja viestivät avoimesti asianomaisille sidosryhmille sen sijaan, että olettavat hiljaisen maksun saavan ongelman katoamaan.

Mitä tämä tarkoittaa sinulle

Hallinnoitpa pienen yrityksen IT:tä tai valvot tietoturvakäytäntöjä suuremmassa organisaatiossa, nämä tiedot ovat selkeä viesti prioriteettien uudelleenjärjestelyyn. Rahan, joka on varattu lunnasvararahastoihin, voisi käyttää paljon paremmin segmentointihankkeisiin, zero trust -käyttöönottoihin ja varmuuskopioinfrastruktuuriin, jota testataan säännöllisesti. Kybervakuutussopimukset ja poikkeamien hallinnan toimeksiannot tulisi myös tarkistaa, jotta ne painottavat ennaltaehkäisyä ja palautumiskykyä pelkän maksun kattamisen sijaan.

Yksityishenkilöille opetus on samankaltainen pienemmässä mittakaavassa: vahvat, yksilölliset salasanat, monivaiheinen tunnistautuminen ja henkilökohtaisten ja perheen laitteiden säännölliset varmuuskopiot vähentävät mahdollisuutta, että yksittäinen kiristyshaittaohjelmatartunta muuttuu toistuvaksi painajaiseksi.

Käytännön toimenpiteet

  • Kohtele lunnasvaatimusta viimeisenä keinona, älä ensisijaisena toimintasuunnitelmana; tiedot osoittavat, että se epäonnistuu usein uhan lopettamisessa.
  • Investoi verkon segmentointiin, jotta yksi vaarantunut tili ei paljasta koko ympäristöä.
  • Ota käyttöön zero trust -periaatteet sisäisessä ja etäkäytössä: varmista jokainen pyyntö luottamatta pelkkään verkon sijaintiin.
  • Ylläpidä offline-tilassa säilytettäviä, säännöllisesti testattuja varmuuskopioita, jotta palautuminen ei riipu neuvotteluista rikollisten kanssa.
  • Laadi poikkeamien hallintasuunnitelma nyt, ennen kuin hyökkäys tapahtuu, jotta päätöksiä ei tehdä paniikissa ja paineen alla.

Kiristyshaittaohjelmien toistuvien kiristysmaksujen yleistyminen on vahva peruste resurssien siirtämiselle pois reaktiivisesta neuvottelusta kohti ennakoivaa puolustusta. Organisaatiot, jotka tekevät tämän muutoksen nyt, ovat paljon paremmassa asemassa kuin ne, jotka yhä toivovat, että yksittäinen maksu saa ongelman katoamaan.