Kiristysohjelmien kohdentaminen seuraa maksutodennäköisyyttä, ei näkyvyyttä
Vuosien ajan yleinen mielikuva kiristysohjelman uhrista on ollut tuttu nimi: sairaalajärjestelmä, suuri lentoyhtiö, globaali valmistaja. Tuore analyysi tekee kuitenkin yksinkertaisemman ja hyödyllisemmän havainnon: kiristysohjelmien kohdentaminen seuraa maksutodennäköisyyttä, ei näkyvyyttä. Hyökkääjät, ja erityisesti ne itsenäiset toimijat, jotka toteuttavat valtaosan kiristysohjelmatunkeutumisista, eivät tavoittele otsikoita. He tavoittelevat maksua, ja se muuttaa sitä, ketkä päätyvät heidän tähtäimiinsä.
Tämän taustalla oleva taloustiede on suoraviivaista. Suurin osa nykyaikaisista kiristysohjelmista toimii ransomware-as-a-service-mallilla, jossa ydinryhmä rakentaa haittaohjelman ja infrastruktuurin, kun taas itsenäiset kumppanit hoitavat varsinaiset murtautumiset. Nämä kumppanit ansaitsevat provision vain, kun uhri maksaa. Tämä yksittäinen tosiasia järjestää koko kohdentamisprosessin uudelleen. Sen sijaan, että kysyttäisiin "kuka aiheuttaisi suurimman kohun", kumppanit kysyvät "kuka todennäköisimmin maksaa, ja kuinka nopeasti".
Miksi maksutodennäköisyys voittaa brändin tunnettuuden
Kun maksu on ainoa tulonlähde, näkyvyydestä tulee merkityksetöntä, ellei se korreloi maksuhalukkuuden tai -kyvyn kanssa. Tunnettu brändi, jolla on vahvat varmuuskopiot, kova incident response -suunnitelma ja julkinen sitoutuminen olemaan koskaan neuvottelematta hyökkääjien kanssa, on itse asiassa huono kohde, vaikka sen murtaminen tuottaisi enemmän mediahuomiota. Samaan aikaan keskikokoinen yritys, jolla on heikommat puolustukset, kyberturvavakuutus ja liiketoimintamalli, joka ei kestä käyttökatkoksia, muuttuu paljon houkuttelevammaksi.
Signaalit, jotka nostavat uhrin koettua maksutodennäköisyyttä, ovat muun muassa todisteet käytettävissä olevista varoista, selkeä sisäinen prosessi suurten maksujen nopeaan hyväksymiseen, riippuvuus jatkuvasta toiminnasta sekä historia (julkinen tai päätelty) aiemmista lunnaiden maksuista. Organisaatiot, jotka ovat julkisesti kieltäytyneet maksamasta, lähettävät päinvastaisen signaalin. Stadler Rail esimerkiksi kieltäytyi 12,3 miljoonan dollarin lunasvaatimuksesta Everest-kiristysjengiltä, kun hyökkääjät varastivat teknistä dataa toimittajan kautta – päätös, joka vähentää saman ryhmän kannustinta priorisoida vastaavia kohteita tulevaisuudessa. Berliinin osavaltiohallinto omaksui samanlaisen kannan vahvistaen, ettei se maksa hakkerille aktiivisesta kiristysyrityksestä huolimatta verkkotunkeutumisen jälkeen. Jokainen julkinen kieltäytyminen nakertaa sitä maksutodennäköisyyslaskelmaa, joka ohjaa kumppanien päätöksentekoa.
Yksityisyysnäkökulma: tietovarkaus ei odota päätöstä
Tällä kohdentamislogiikalla on suora yksityisyysseuraus, joka usein unohtuu lunnaiden maksamista koskevissa keskusteluissa. Kauan ennen kuin uhri päättää, maksaako hän, hyökkääjät ovat tyypillisesti jo siirtäneet tiedot ulos. Nykyaikaiset kiristysohjelmaoperaatiot nojaavat yhä enemmän kaksoiskiristykseen: ne salaavat järjestelmät ja varastavat samalla arkaluonteisia tiedostoja lisäpainostuskeinoksi. Tämä tarkoittaa, että henkilötiedot, taloudelliset tiedot ja sisäinen viestintä voivat paljastua tai tulla myydyksi riippumatta lunnaiden lopputuloksesta.
ShinyHunters-ryhmän hyökkäys kolumbialaiseen rahoituspalveluyritykseen Addi.comiin havainnollistaa tätä riskiä selvästi. Ryhmä otti vastuun 16 miljoonan taloudellisen tietueen varastamisesta – paljastumisen mittakaava, jolla ei ole mitään tekemistä sen kanssa, oliko Addi.com kuuluisa tai poliittisesti merkittävä kohde. Se heijastaa samaa taustalogiikkaa: rahoituspalveluyritys, jolla on hallussaan suuria määriä arkaluonteisia tietoja, edustaa korkean arvon mahdollisuutta kiristykseen brändin tunnettuudesta riippumatta. Tavallisille käyttäjille tämä tarkoittaa, että tietosi voivat päätyä vaaraan yksinkertaisesti siksi, että ne hallussaan pitävä organisaatio näytti kumppanin silmissä hyvältä vedonlyönniltä – ei siksi, että se olisi kohde, jota kukaan odottaisi.
Mitä tämä tarkoittaa sinulle
Jos kohdentamista ohjaa maksutodennäköisyys eikä näkyvyys, käytännön johtopäätös on, ettei mikään organisaatio – koosta tai näkyvyydestä riippumatta – voi olettaa olevansa "liian pieni merkitsemään" kiristysohjelmaoperaattoreille. Pienemmät yritykset, terveydenhuollon tarjoajat, rahoitusalustat ja paikallishallinnon virastot ovat usein houkuttelevia juuri siksi, että niillä saattaa olla vähemmän kehittyneet puolustukset ja suurempi toiminnallinen paine palauttaa pääsy nopeasti.
Yksilöille tämä vahvistaa tutun mutta tärkeän tosiasian: henkilötietojesi turvallisuus riippuu suuresti jokaisen niitä hallussaan pitävän organisaation turvallisuustilasta, ei vain kuuluisien. Rahoituslaitokset, pienemmät palveluntarjoajat ja toimitusketjun toimittajat ovat kaikki mahdollisia sisäänpääsypisteitä, kuten Stadler Railin tapaus osoittaa.
Käytännön johtopäätökset
Organisaatioiden tulisi käsitellä varmuuskopioiden eheyttä, incident response -suunnittelua ja julkista viestintää lunnaiden maksupolitiikasta työkaluina, jotka suoraan vähentävät niiden houkuttelevuutta kumppanien silmissä, jotka etsivät helppoja maksuja. Yksilöiden tulisi olettaa, että mikä tahansa palvelu, jolla on hallussaan arkaluonteisia henkilö- tai taloustietoja, voi joutua kohteeksi, ja heidän tulisi käyttää vahvoja, yksilöllisiä salasanoja, ottaa käyttöön monivaiheinen tunnistautuminen aina kun mahdollista ja seurata tilejä epätavallisen toiminnan varalta minkä tahansa tietoturvaloukkausilmoituksen jälkeen. Koska kiristysohjelmien kohdentaminen seuraa maksutodennäköisyyttä eikä näkyvyyttä, valppaana pysyminen pienempien, vähemmän tunnettujen palveluntarjoajien kanssa on yhtä tärkeää kuin uutisten seuraaminen suuriin brändeihin kohdistuvista hyökkäyksistä. Tietoisuus siitä, miten nämä päätökset tehdään, on yksi yksinkertaisimmista tavoista pysyä riskin edellä.
