Plaćanje otkupnine bandi za ransomware nikad nije bilo jamstvo sigurnosti, ali novo istraživanje daje konkretnu brojku o tome koliko često ta kocka propadne. Prema nedavnim nalazima, 58% britanskih organizacija pogođenih ransomwareom platilo je traženu otkupninu, a 22% tih platiša ponovno je pogođeno drugim pokušajem iznude. Poruka za IT timove, i za sve čiji osobni podaci prolaze kroz korporativne mreže, jest da stari priručnik "plati i nastavi dalje" više ne vrijedi.

Nova stvarnost: Plaćanje ne zaustavlja napad

Ransomware je nekad slijedio prilično predvidljiv scenarij: napadači šifriraju vaše datoteke, vi platite, dobijete ključ za dešifriranje i incident je zatvoren. Taj scenarij je prepisan. Prelazak na dvostruku iznudu, gdje napadači kradu podatke prije šifriranja i prijete njihovim objavljivanjem bez obzira na plaćanje, znači da transakcija otkupnine ne rješava ništa. Brojka od 22% koja pokazuje ponovnu iznudu prema organizacijama koje su već platile potvrđuje ono na što su mnogi sigurnosni istraživači upozoravali godinama: kada vaši podaci izađu van, više nemate stvarnu kontrolu nad time što će se s njima sljedeće dogoditi. Kriminalna skupina koja je jednom plaćena ima svaki poticaj da se vrati, bez obzira radi li se o istom akteru ili drugom koji djeluje na temelju preprodanog pristupa.

Za Windows administratore konkretno, ovo mijenja računicu odgovora na incident. Vraćanje iz sigurnosne kopije nekad se tretiralo kao alternativa plaćanju. Sada to treba tretirati kao osnovno očekivanje, jer plaćanje ne zaustavlja pouzdano curenje podataka na strani krađe. Testirane, offline sigurnosne kopije, snažne kontrole sigurnosti identiteta i dokumentirani plan oporavka su ono što zapravo prekida ciklus, a ne novčana transakcija u anonimni novčanik.

AI ubrzava početni kompromis

Druga velika tema u ovom istraživanju jest rastuća uloga umjetne inteligencije u ranim fazama napada. Početni kompromis, trenutak kada napadači prvi put dobiju uporište u mreži, navodno je područje gdje AI alati imaju najveći utjecaj. Brže izviđanje, uvjerljiviji phishing mamci i brža identifikacija iskoristivih slabosti skraćuju vremenski okvir koji branitelji imaju da primijete da nešto nije u redu prije nego što nastane šteta.

To je važno jer je većina obrana od ransomwarea još uvijek izgrađena na pretpostavci da napadači trebaju vremena za kretanje kroz mrežu prije nego što prouzroče ozbiljnu štetu. Ako AI sažima taj vremenski okvir, organizacije koje se oslanjaju isključivo na periodične cikluse zakrpa i ručno praćenje sve su izloženije. To naglašava zašto je sigurnost identiteta, stvari poput višefaktorske autentifikacije, upravljanja povlaštenim pristupom i brzog otkrivanja anomalija, postala jednako važna kao i zaštita krajnjih točaka.

Zašto je krađa podataka prava priča o privatnosti

Iako šifrirane datoteke dobivaju većinu naslova, model dvostruke iznude stavlja u fokus nešto što je važnije običnim ljudima: same podatke. Svaki ransomware incident koji uključuje ukradene HR evidencije, baze podataka kupaca ili datoteke zaposlenika u svojoj je srži incident privatnosti. Razmotrite kako je provala u HR sustav južnoafričkog statističkog ureda izložila podatke zaposlenika, slučaj koji ilustrira kako interni sustavi koji sadrže osjetljive osobne podatke mogu postati stvarna meta, a ne samo kolateralna šteta šireg napada. Kada ransomware skupine eksfiltriraju ovu vrstu podataka prije zaključavanja sustava, plaćanje otkupnine ne poništava činjenicu da imena, plaće, adrese ili zdravstveni podaci možda već sjede na kriminalnom serveru ili su već u prodaji.

Ovo je dio koji često nedostaje u čisto tehničkom izvještavanju o ransomwareu: drugi pokušaj iznude nije samo korporativna glavobolja, to je drugi val izloženosti za pojedince čiji su podaci ukradeni u prvom redu. Zaposlenici, kupci i pacijenti rijetko imaju pravo glasa o tome hoće li njihova organizacija platiti, a ipak nose trajni rizik od krađe identiteta, ciljanog phishinga ili prijevare dugo nakon što naslovi izblijede.

Što ovo znači za vas

Ako radite u IT-u ili sigurnosti, ovi podaci su jasan signal da prestanete tretirati plaćanje otkupnine kao rješenje i počnete ga tretirati kao najgori mogući scenarij. Planovi oporavka, nepromjenjive sigurnosne kopije i obrane usmjerene na identitet zaslužuju više proračuna i vremena za testiranje nego što obično dobivaju. Ako ste zaposlenik ili kupac organizacije koja je objavila ransomware incident, pretpostavite da su vaši podaci možda kopirani čak i ako vam je rečeno da su sustavi "obnovljeni". Pratite svoje račune, pazite na phishing pokušaje koji se pozivaju na proboj i razmislite o praćenju kreditne sposobnosti ako su uključeni osjetljivi osobni ili financijski podaci.

Provedivi zaključci

Organizacije bi trebale redovito revidirati integritet sigurnosnih kopija i provjeravati jesu li sigurnosne kopije doista izolirane od produkcijske mreže. Višefaktorska autentifikacija i pristup s najmanjim povlasticama trebali bi biti obavezni na svim sustavima, ne samo na kritičnima. Planovi odgovora na incidente moraju izričito obrađivati scenarij dvostruke iznude, uključujući pravne i komunikacijske korake za slučaj kada se ukradeni podaci pojave javno. Pojedinci pogođeni bilo kakvom objavom ransomwarea trebali bi promijeniti lozinke, omogućiti MFA gdje je dostupan i ostati na oprezu zbog naknadnih prijevara. Podaci su jasni – druga iznuda kod ransomwarea više nije rijedak rubni slučaj, postaje standardni dio životnog ciklusa napada, a priprema je jedina prava obrana.