FBI:n, CISA:n ja EU-virastojen yhteinen varoitus on nostanut SafePay-kiristyshaittaohjelmaryhmän valokeilaan, ja USA, Iso-Britannia ja Saksa on nimetty ryhmän maailmanlaajuisen kampanjan kohteiksi. Keskeinen yksityiskohta tavallisille käyttäjille ja pienyrityksille: hyökkääjät tähtäävät varmuuskopioihin. Tämä tekee SafePay-kiristyshaittaohjelmien varmuuskopiosuojauksesta suuremman kysymyksen kuin pelkästään tiedostojen toisen kopion omaamisesta.
Lähdeartikkeli on lyhyt, joten tämä kirjoitus keskittyy siihen, mitä varoitus merkitsee ja mitä käytännön toimenpiteitä voit tehdä. Kun kuvailemme tyypillistä hyökkääjän toimintaa, se heijastaa yleistä julkista raportointia SafePaysta ja yleisestä kiristyshaittaohjelmakäytännöstä.
Mitä SafePay-kiristyshaittaohjelma tekee ja keihin se kohdistuu
SafePay on kiristyshaittaohjelmaryhmä, eli se murtautuu verkkoihin, lukitsee tiedot ja vaatii maksua pääsyn palauttamiseksi. Julkiset uhkaraportit kuvailevat sitä kaksoiskiristysoperaatioksi: hyökkääjät kopioivat tietoja uhrin järjestelmistä ennen salausprosessia ja vaativat sitten maksua kryptovaluutassa. Uhka on sekä pääsyn menettäminen että arkaluontoisten tiedostojen vuotaminen.
Yhteinen varoitus kuvailee maailmanlaajuista kampanjaa, ja mukana olevat virastot kattavat USA:n, Iso-Britannian ja Saksan. Kiristyshaittaohjelmaryhmät harvoin rajoittuvat suuriin yrityksiin. Pienyrityksillä, klinikoilla, kouluilla ja paikallistoimistoilla on usein arvokasta dataa mutta ohuemmat puolustukset, mikä tekee niistä houkuttelevia. Myös yksityishenkilöt, joilla on verkkotallennuslaitteita kotona tai kotitoimistossa, voivat altistua.
SafePaysta kertova julkinen raportointi kertoo, että sen operaattorit pääsevät tyypillisesti sisään varastamalla tai arvaamalla salasanoja ja hyödyntämällä turvajärjestelmien haavoittuvuuksia. Mikään tästä ei ole eksoottista, ja siksi perusasiat ovat niin tärkeitä.
Miksi hyökkääjät tähtäävät ensin varmuuskopioihin
Varmuuskopiot ovat turvaverkko. Jos uhri voi palauttaa puhtaasta kopiosta, lunastusvaatimus menettää suurimman osan vipuvoimastaan. Siksi hyökkääjät, jotka ymmärtävät tämän, yrittävät poistaa verkon ennen kuin he vetävät liipaisimesta. Varmuuskopioiden poistaminen, salaaminen tai turmeleminen ensin tarkoittaa, että kun lunastusvaatimus ilmestyy, palautusvaihtoehdot ovat jo poissa.
Tämä on se muutos, joka kannattaa omaksua. Monet ajattelevat varmuuskopion olevan jotain, joka yksinkertaisesti on olemassa. Käytännössä varmuuskopio, joka on tavoitettavissa pääverkostasi samoilla kirjautumistiedoilla, voidaan löytää ja tuhota kenen tahansa toimesta, joka saa kyseisen pääsyn. Kopio, joka sijaitsee tietokoneeseesi pysyvästi kytkettynä olevalla asemalla tai pilvikansiossa, joka synkronoituu automaattisesti, voidaan salata kaiken muun mukana.
Varmuuskopioiden suojaaminen: offline-kopiot, muuttumattomuus ja salaus
Hyvä SafePay-kiristyshaittaohjelmien varmuuskopiosuojaus alkaa olettamuksesta, että hyökkääjä lopulta saa pääsyn pääjärjestelmiisi, ja varmistamalla, että varmuuskopiosi selviävät siitä skenaariosta. Kolme ideaa auttaa:
- Pidä offline- tai eristetty kopio. Ulkoinen asema, joka irrotetaan jokaisen varmuuskopioinnin jälkeen, ei voi tulla salatuksi etänä. Yrityksille tämä tarkoittaa kopioita, jotka eivät ole jatkuvasti tavoitettavissa tuotantoverkosta.
- Käytä muuttumattomia varmuuskopioita. Muuttumattomuus tarkoittaa, että varmuuskopiota ei voi muuttaa tai poistaa tietyn ajanjakson aikana, edes ylläpitäjätilin toimesta. Monet varmuuskopiointityökalut ja pilvitallennuspalvelut tarjoavat tämän asetuksena. Jos hyökkääjä varastaa ylläpitäjän tunnistetiedot, lukitut kopiot pysyvät ehjinä.
- Salaa varmuuskopiosi. Salaus ei estä hyökkääjää poistamasta tietoja, mutta se suojaa sisällön, jos kopio varastetaan. Tämä on tärkeää kaksoiskiristystapauksessa, jossa vuodetut tiedot ovat osa painostusta.
Kaksi tukevaa tapaa ovat yhtä tärkeitä. Käytä erillisiä tunnistetietoja varmuuskopiointijärjestelmille, mieluiten monivaiheisella todennuksella suojattuna, jotta varastettu jokapäiväinen salasana ei avaa niitä. Ja testaa palautuksia säännöllisesti. Varmuuskopio, jota et ole koskaan palauttanut, on olettamus, ei suunnitelma.
Peruspuolustukset, jotka estävät alkuperäisen tunkeutumisen
Varmuuskopioiden suojaaminen on viimeinen puolustuslinja. Parempi lopputulos on pitää hyökkääjät ulkona. Koska raportointi viittaa varastettuihin tai arvattuihin salasanoihin ja hyödynnettyihin haavoittuvuuksiin, hyödyllisimmät puolustukset ovat niitä epäglamouroksia:
- Ota monivaiheinen todennus käyttöön sähköpostissa, etäkäytössä, pilvitileissä ja varmuuskopiointikonsolissa.
- Käytä vahvoja, ainutlaatuisia salasanoja salasananhallinnassa tallennettuina, jotta yksi vuotanut tunnistetieto ei avaa useita ovia.
- Paikkaa viipymättä, erityisesti internetiin yhteydessä olevat järjestelmät, kuten palomuurit, etäkäyttötyökalut ja varmuuskopiointiohjelmistot. Paikkaamattomat tunnetut puutteet ovat yleinen sisäänpääsytie.
- Rajoita etäkäyttöä. Kytke pois palvelut, joita et käytä, ja rajoita, kuka voi päästä käsiksi muihin.
VPN voi auttaa suojaamaan etäyhteydet työverkkoon, mutta se ei korvaa paikkaamista ja MFA:ta, eikä se suojaa varmuuskopioita yksinään.
Mitä tämä tarkoittaa sinulle
Tämän varoituksen kansainvälinen luonne on huomionarvoinen. Hallitusten rajat ylittävä yhteistyö kyberuhkien suhteen ei ole uutta; liittoutumat kuten Five Eyes ja laajempi Fourteen Eyes tunnetaan tiedustelutietojen jakamisesta, vaikka nämä järjestelyt koskevat valvontatietoja ja ovat erillinen asia tästä kiristyshaittaohjelmavaroituksesta. Lukijoille opetus on yksinkertaisempi: kun useat virastot antavat yhteisen varoituksen, uhka on laaja eikä rajoitu yhteen alueeseen tai toimialaan.
Yksityishenkilöille tämä tarkoittaa tarkistamista, ovatko varmuuskopiosi todella erillään tietokoneestasi. Pienyrityksille se tarkoittaa kysymistä, kuka voi poistaa varmuuskopiosi ja onko kyseinen tili suojattu MFA:lla.
Käytännön toimenpiteet
SafePay-kiristyshaittaohjelmien varmuuskopiosuojaus tiivistyy lyhyeen auditointiin, jonka voit suorittaa tällä viikolla:
- Tarkista varmuuskopiointiasetuksesi. Onko sinulla ainakin yksi kopio, joka on offline-tilassa tai muuttumaton?
- Erota tunnistetiedot. Varmista, että varmuuskopiointikäyttö käyttää eri kirjautumisia kuin päivittäiset tilit.
- Ota MFA käyttöön kaikkialla, missä sitä tarjotaan, aloittaen sähköpostista, etäkäytöstä ja varmuuskopiointityökaluista.
- Asenna odottavat päivitykset, priorisoiden palomuurit, etäkäyttöohjelmistot ja varmuuskopiointisovellukset.
- Testaa palautus muutamalla tiedostolla varmistaaksesi, että varmuuskopiot todella toimivat.
Mikään näistä vaiheista ei ole monimutkainen, ja yhdessä ne poistavat sen vipuvoiman, johon kiristyshaittaohjelmaryhmät luottavat. Aloita auditoinnista tänään.
