Kiristysohjelmien todellinen tuottomoottori ei ole salaus
Vuosien ajan kiristysohjelmien torjunta on keskittynyt yhteen hetkeen: siihen sekuntiin, kun tiedostot lukittuvat. Mutta The National CIO Review'n käsittelemät uudet havainnot tekevät selväksi, että salaus on usein vähiten arvokas osa kiristyshyökkäystä rikollisille. Todellinen tuotto tulee tietovarkaudesta, eikä se pääty, kun lunnaat maksetaan tai järjestelmät palautetaan.
Raportin mukaan 54 % uhriksi joutuneista organisaatioista maksoi lunnaat. Se ei sinänsä ole yllättävää, kun otetaan huomioon, kuinka häiritseviä salatut järjestelmät voivat olla. Huomionarvoista on se, mitä tapahtui seuraavaksi: 37 % maksaneista organisaatioista sai myöhemmin uuden vaatimuksen samalta tai eri hyökkääjältä. Toisin sanoen yli kolmannes uhreista, jotka luulivat päättäneensä tapauksen, joutuivat takaisin lähtöruutuun neuvottelemaan uudelleen samoista varastetuista tiedoista.
Miksi varastetut tiedot tuottavat hyökkääjille jatkuvasti
Kun hyökkääjät vievät tietoja ennen salauksen käyttöönottoa, he saavat useita erillisiä tulonlähteitä, jotka eivät riipu uhrin järjestelmien pysymisestä lukittuina. Raportissa hahmotellaan useita näistä:
- Julkistamisuhkaukset: Hyökkääjät uhkaavat vuotaa arkaluonteisia tiedostoja, ellei toista maksua suoriteta, jopa alkuperäisen salauksenpurkulunnaiden maksun jälkeen.
- Varastettujen tietojen jälleenmyynti: Tietoja myydään rikollisilla markkinapaikoilla muille uhkia aiheuttaville tahoille riippumatta siitä, maksoiko alkuperäinen uhri mitään.
- Tunnusten väärinkäyttö: Varastetuista tiedostoista löytyviä käyttäjätunnuksia, salasanoja ja käyttöoikeustokeneita käytetään uudelleen muiden tilien tai järjestelmien murtautumiseen, joskus yhteistyökumppaneiden tai toimittajien organisaatioissa.
- Jatkohyökkäykset: Tietomurrosta kerätyt yksityiskohdat, kuten verkkokaaviot, toimittajasopimukset tai sisäiset viestit, helpottavat tulevia tunkeutumisia ja tekevät niistä kohdennetumpia.
Tämän vuoksi tietoturvatutkijat kuvaavat nykyaikaisia kiristysohjelmia yhä useammin tietovarkausongelmaksi, johon on liitetty salaus, eikä päinvastoin. Salaus häiritsee toimintaa päiviksi tai viikoiksi. Varastettuja tietoja voidaan käyttää aseena kuukausia tai vuosia.
Tuore esimerkki tästä dynamiikasta julkisuudessa oli Tata Electronicsin tietomurto, jossa vuoti iPhone 18 Pron salaisuuksia, jossa itsensä World Leaksiksi kutsuva kiristyshaittaohjelmaryhmä julkaisi arkaluonteisia julkaisemattomia tuotetietoja päästyään sisäisiin järjestelmiin. Tällaiset tapaukset osoittavat, kuinka varastetut yritystiedot säilyttävät arvonsa hyökkääjille pitkälle alkuperäisen tunkeutumisen jälkeen ja kuinka pelkät julkistamisuhkaukset voivat pakottaa organisaatiot vaikeisiin päätöksiin ilman toimivaa salaushyötykuormaakaan.
Miksi maksaminen ei takaa tarinan päättymistä
37 prosentin toistuvien vaatimusten luku ansaitsee erityistä huomiota, koska se kumoaa yleisen oletuksen: lunnaiden maksaminen päättää tapauksen. Todellisuudessa, kun tiedot ovat poistuneet organisaation verkosta, uhrilla ei ole mitään keinoa varmistaa, että kopiot on tuhottu, ettei hyökkääjä myy tietoja eteenpäin tai ettei jokin toinen ryhmä ole jo saanut haltuunsa samoja tiedostoja. Maksaminen ratkaisee salausongelman. Se ei ratkaise tietovarkausongelmaa, koska tiedot ovat jo poissa uhrin hallinnasta sinä hetkenä, kun ne on viety.
Tällä on suoria vaikutuksia siihen, miten organisaatiot suhtautuvat kiristysohjelmien varautumiseen. Varmuuskopiointi- ja palautussuunnittelu on tärkeää järjestelmien palauttamiseksi verkkoon, mutta se ei estä tietovuotoa, jälleenmyyntiä tai toista kiristysyritystä. Tietojen ulosviennin estäminen alun alkaenkin verkon segmentoinnin, tiukkojen käyttöoikeuksien ja arkaluonteisen datan tallentamisen tai ulottuvuuden minimoinnin avulla on aivan yhtä tärkeää kuin palautussuunnittelu.
Mitä tämä tarkoittaa sinulle
Hallinnoitpa sitten pienen yrityksen IT-järjestelmiä tai suojaat vain omia tilejäsi, tämän aineiston opetus on sama: oleta, että mikä tahansa tietojasi koskeva tietomurto voi johtaa jatkuvaan altistukseen, ei vain yksittäiseen tapaukseen. Jos yritys, jonka kanssa olet tekemisissä, ilmoittaa kiristysohjelmahyökkäyksestä, suhtaudu siihen avoimena riskinä. Uudelleenkäytetyt salasanat, vanhat tilitiedot ja tietomurtoon liittyvät henkilötiedot voivat nousta uudelleen esiin tunnusten täyttöyrityksissä tai jatkohuijauksissa kauan sen jälkeen, kun otsikot ovat haalistuneet.
Organisaatioiden kannalta johtopäätös on kohdella tietojen minimointia ja verkon segmentointia keskeisinä kiristysohjelmien torjuntakeinoina, ei jälkikäteen tehtävinä lisäyksinä. Sen rajoittaminen, mitä arkaluonteisia tietoja on käytettävissä mistä tahansa yksittäisestä vaarantuneesta pisteestä, vähentää sitä määrää, jonka hyökkääjät voivat varastaa, vaikka he pääsisivätkin sisään.
Käytännön opit
- Käytä yksilöllisiä salasanoja jokaiselle tilille ja päivitä ne, jos saat ilmoituksen tietojasi koskevasta tietomurrosta, jopa kuukausia myöhemmin.
- Ota käyttöön monivaiheinen todennus aina kun mahdollista vähentääksesi varastettujen tunnusten arvoa.
- Jos johdat yritystä, tarkasta, mitä arkaluonteisia tietoja tallennetaan ja kenellä on niihin pääsy; vähemmän alttiina olevaa dataa tarkoittaa vähemmän vipuvartta hyökkääjille.
- Älä oleta, että kiristysohjelmatapaus on ohi, kun lunnaat on maksettu tai järjestelmät palautettu. Tarkkaile merkkejä vuotaneista tiedoista tai uusista kiristysyrityksistä.
- Segmentoi verkot niin, ettei yksi vaarantunut laite tai tili voi paljastaa koko data-ympäristöäsi.
Kiristysohjelmien suurin etu ei ole salaus, joka nousee otsikoihin. Se on tietovarkaus, joka tapahtuu hiljaa etukäteen ja tuottaa hyökkääjille arvoa kauan sen jälkeen, kun alkuperäinen kriisi näyttää ratkenneen.
