Miksi kiristyshaittaohjelmahyökkäykset keskittyvät nyt tietovarkauteen, eivät salaukseen

Vuosien ajan kiristyshaittaohjelmien vakiokaava oli yksinkertainen: murtaudu sisään, salaa tiedostot, vaadi lunnaita salauksen purkuavaimesta. Varmuuskopiot olivat ratkaisu. Palauta järjestelmät, jätä lunnasviesti huomiotta, jatka eteenpäin. Tämä toimintamalli on pitkälti vanhentunut.

Nykypäivän kiristyshaittaohjelmaryhmät ovat sopeutuneet siihen, että monet organisaatiot selviytyvät salauksesta ongelmitta. Siksi ne ovat siirtäneet painostuskeinonsa muualle. Ennen kuin ne lukitsevat mitään, hyökkääjät kopioivat nyt hiljaisesti arkaluonteisia tiedostoja, taloustietoja, työntekijätietoja ja asiakastietoja pois verkosta. Salauksesta on tullut lähes toissijaista, ja joskus se jätetään kokonaan väliin. Todellinen uhka on julkinen vuotosivusto, jolle varastetut tiedot julkaistaan, jos maksua ei suoriteta. Tämä on kiristyshaittaohjelmien tietokiristysuhka, jota tietoturvatutkijat ovat seuranneet tarkasti, ja se muuttaa sen, mitä "valmistautuminen" käytännössä tarkoittaa kaikenkokoisille organisaatioille.

Tämä malli ei rajoitu mihinkään yksittäiseen alueeseen tai toimialaan. Esimerkiksi kiristyshaittaohjelmatapauksia Intiassa koskevassa raportoinnissa havaittiin, että suurin osa hyökkäyksistä sisältää nykyään tietovarkauden pelkän salauksen sijaan, kuten Proofpointin analyysi kiristyshaittaohjelmatoiminnasta siellä osoittaa. Sama dynamiikka toistuu lähempänä kotia, myös St. Louisin metropolialueella.

Mitä St. Louisin alueen tapauksista tiedetään

CHR Solutionsin, St. Louisissa toimivan IT- ja kyberturvallisuusyrityksen, raportoinnin mukaan kiristyshaittaohjelmat ovat iskeneet koulujärjestelmiin, kaupunkiverkkoihin ja paikallisiin yrityksiin metropolialueella vain viime kuukausien aikana. Yritys, joka työskentelee suoraan alueellisten organisaatioiden kanssa tietoturva-aukkojen sulkemiseksi, kehystää tämän paikallisena ja toistuvana ongelmana eikä kaukaisena otsikkona. Yksityiskohtaiset tiedot yksittäisistä tapauksista ovat saatavilla olevassa raportoinnissa rajallisia, mutta kuvattu malli heijastaa sitä, mitä tapahtuu valtakunnallisesti: julkisen sektorin verkot ja pienet ja keskisuuret yritykset ovat usein kohteina, usein siksi, että niillä on vähemmän omistettuja tietoturvaresursseja kuin suurilla yrityksillä.

Koulupiirit ja kunnalliset verkot ovat erityisen houkuttelevia kohteita kiristykseen perustuville hyökkäyksille. Ne säilyttävät suuria määriä henkilötietoja, mukaan lukien tietoja oppilaista, työntekijöistä ja asukkaista, ja ne kohtaavat usein julkista painetta välttää häiriöitä, mikä voi tehdä niistä todennäköisempiä neuvottelemaan. Kun hyökkääjät tietävät, että painostuskeino ei ole vain "pystytkö toimimaan ilman tiedostojasi" vaan "onko sinulla varaa siihen, että nämä tiedot julkaistaan", maksupaine kasvaa merkittävästi.

Miten kaksinkertainen kiristys muuttaa laskelmaa pienille ja keskisuurille yrityksille

Kaksinkertainen kiristys, järjestelmien salaaminen ja samalla varastettujen tietojen vuotamisella uhkaaminen, muuttaa perustavanlaatuisesti riskiyhtälöä pienemmille organisaatioille. Yrityksellä, jolla on vankat ja testatut varmuuskopiot, oli ennen selkeä polku toipumiseen: palauta ja rakenna uudelleen. Mutta varmuuskopiot eivät estä vuotosivustoa julkaisemasta asiakassopimuksia, työntekijöiden sosiaaliturvatunnuksia tai liikesalaisuuksia.

Tällä on valtava merkitys pienille ja keskisuurille yrityksille, jotka saattavat olettaa, että varmuuskopiot yksinään muodostavat kiristyshaittaohjelmasuojauksen. Tuore esimerkki siitä, miten nämä vuotouhat toteutuvat käytännössä, liittyy Play-kiristyshaittaohjelmaryhmän väitettyyn hyökkäykseen Kreysler & Associatesia vastaan, jossa ryhmä noudatti tyypillistä toimintamalliaan uhaten julkaista varastetut tiedot sen sijaan, että se olisi turvautunut pelkästään salaukseen maksun pakottamiseksi. Tällaiset tapaukset havainnollistavat, että hyökkääjien hallussa oleva neuvotteluvoima on siirtynyt "lukitsimme järjestelmänne" -asetelmasta "meillä on tietonne ja julkaisemme ne julkisesti" -asetelmaan. Tämä on maineeseen, oikeudellisiin seurauksiin ja sääntelyyn liittyvä riski, jota varmuuskopioiden palauttaminen ei yksinkertaisesti voi korjata.

Pienemmille organisaatioille, joilla ei ole omistettuja tietoturvatiimejä, tämä muutos tarkoittaa, että tapahtumiin varautumisen suunnittelussa on otettava huomioon tietovuotoskenaariot, ei pelkästään järjestelmien käyttökatkoksia.

Käytännön suojaamistoimenpiteet, jotka vastaavat kiristysriskiin

Varmuuskopiot ovat edelleen välttämättömiä, mutta ne eivät enää yksin riitä. Organisaatioiden, jotka ovat tosissaan kiristysriskin vähentämisessä, tulisi keskittyä muutamiin osa-alueisiin, jotka menevät perinteistä katastrofipalautusta pidemmälle:

  • Rajoita sitä, mitä hyökkääjät voivat varastaa. Vähennä tietojen säilytystä mahdollisuuksien mukaan ja segmentoi verkot niin, että yksi vaarantunut tili ei tarjoa pääsyä kaikkeen.
  • Tarkkaile tietojen ulosvientiä, ei pelkästään salausta. Havainnointityökalut, jotka merkitsevät epätavalliset lähtevät tiedonsiirrot, voivat havaita hyökkäyksen ennen kuin tiedostot poistuvat verkosta, mikä on usein aikaisemmin kuin salaukseen keskittyvä valvonta sen havaitsisi.
  • Vahvista identiteetinhallintaa. Monivaiheinen todennus ja tiukasti hallitut pääkäyttäjätilit ovat edelleen tehokkaimpia esteitä sitä alkuvaiheen pääsyä vastaan, jonka hyökkääjät tarvitsevat varastaakseen tietoja ylipäätään.
  • Laadi tapahtumiin varautumisen suunnitelma, joka kattaa vuotouhat. Oikeudelliset, viestinnälliset ja sääntelyilmoitusten vaiheet tulisi kartoittaa ennen hyökkäystä, ei sen aikana.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi kiristyshaittaohjelmasuunnitelma keskittyy edelleen ensisijaisesti varmuuskopiointi- ja palautusmenettelyihin, se käsittelee eilisen uhkaa. Kiristyshaittaohjelmien tietokiristysuhka tarkoittaa, että todellinen riski on usein siinä, mitä hyökkääjät ehtivät kopioida ennen kuin edes huomasit ongelmaa. Tämä koskee niin koulupiiriä, kunnallista virastoa kuin pientä yritystä, joka käsittelee asiakastietoja. Olettamus, että olet liian pieni ollaksesi kohde, ei ole enää turvallinen veto; pienemmät organisaatiot valitaan usein juuri siksi, että niillä on vähemmän puolustuskeinoja käytössään.

Keskeiset johtopäätökset

  • Kiristyshaittaohjelmahyökkäykset asettavat yhä useammin tietovarkauden ja vuotouhat etusijalle pelkkään salaukseen nähden, mikä on havaittavissa sekä alueellisesti että kansainvälisesti.
  • Salauksesta toipuminen varmuuskopioiden avulla ei poista riskiä varastettujen tietojen julkaisemisesta.
  • Pienet ja keskisuuret organisaatiot, mukaan lukien koulut ja kunnalliset verkot, ovat edelleen usein kohteina rajallisten tietoturvaresurssien vuoksi.
  • Tehokas puolustus edellyttää nyt tietojen ulosviennin valvontaa, pääsynhallinnan tiukentamista ja tapahtumiin varautumisen suunnittelua julkisen vuodon mahdollisuuden eikä pelkän järjestelmien käyttökatkoksen ympärille.