Katalog više od 50 ransomware napada pokazuje da se model mijenja

Nova kompilacija primjera ransomware napada, koja obuhvaća desetke velikih proboja i njihove financijske troškove, iznosi nešto vrijedno pažnje izvan samih brojki: mehanika ovih napada razvija se na načine koji osobne podatke izlažu većem riziku nego što je to ikada činilo samo šifriranje.

Klasična verzija ransomwarea, često nazivana kripto-ransomware, funkcionira točno onako kako većina ljudi zamišlja. Zlonamjerni kod uvuče se u mrežu i šifrira datoteke pomoću snažnih algoritama, obično AES-256 za zaključavanje samih podataka i RSA-2048 za zaštitu ključa za šifriranje. Nakon što se taj proces dovrši, datoteke su praktički nepovratne bez napadačevog privatnog ključa. Žrtvama se zatim prikazuje poruka s zahtjevom za otkupninom, obično u Bitcoinu ili Moneru, često popraćena odbrojavanjem i prijetnjom da će ključ biti uništen ako rok prođe.

Taj je model izgradio reputaciju koju ransomware danas ima: zaključana bolnica, paralizirana gradska uprava, proizvođač koji ne može otpremiti proizvod. No katalog primjera ukazuje na drugu, tišu taktiku koja uz njega jača, onu koja uopće ne ovisi o šifriranju.

Iznuda krađom podataka ne treba zaključati niti jednu datoteku

Umjesto miješanja datoteka, neki napadači sada jednostavno kopiraju osjetljive podatke iz mreže prije nego što ih itko primijeti, a zatim prijete njihovom objavom ili prodajom ako se ne izvrši plaćanje. Nema odbrojavanja koje otkucava na zamrznutoj radnoj površini, nema IT odjela koji žurno radi na obnovi iz sigurnosnih kopija. Poluga nije prekid rada, već izloženost.

Ova je razlika važna za svakoga tko razmišlja o vlastitoj privatnosti, a ne samo za organizacije koje upravljaju sigurnosnim proračunima. Ransomware temeljen na šifriranju u svojoj je srži problem dostupnosti: vaši podaci još uvijek postoje, samo im ne možete pristupiti dok se ne obnove ili dok se ne plati otkupnina. Iznuda krađom podataka problem je povjerljivosti: informacije su već otišle, već se nalaze na napadačevom poslužitelju i nikakvo plaćanje otkupnine to ne može poništiti. Čak i organizacije s pouzdanim sigurnosnim kopijama i brzim planovima oporavka nemaju pravi odgovor na prijetnju koja se u potpunosti temelji na izloženosti. Grupe koje vode operacije ransomwarea kao usluge, one vrste detaljno opisane u članku o LockBit 5.0 i njegovim operacijama nakon Operacije Cronos, prigrlile su upravo ovaj pristup dvostruke prijetnje: šifriraj što možeš, ukradi što ne možeš i iznuđuj na oba fronta.

Zašto je zahtjev za otkupninom samo dio priče

Medijsko izvještavanje o ransomware napadima sklono je fiksirati se na sam iznos otkupnine i lako je shvatiti zašto: konkretan iznos u dolarima čist je naslov. No, financijski trošak napada često odražava samo stranu troškovnika koja se odnosi na odgovor: odgovor na incident, zastoj, pravne troškove, regulatorne kazne i plaćanje otkupnine, ako je izvršeno. Ono što ta brojka ne obuhvaća jesu naknadne posljedice po privatnost za ljude čiji su podaci bili u tom sustavu: pacijente čiji su medicinski kartoni izloženi, kupce čiji su podaci o plaćanju kopirani, zaposlenike čije su osobne informacije sjedile u HR bazi podataka koja je eksfiltrirana.

To je prava implikacija za privatnost zakopana unutar ovih kataloga proboja. Tvrtka može oporaviti svoje sustave, platiti kazne i nastaviti dalje. Pojedinac čiji su podaci ukradeni ne dobiva istu čistu mogućnost oporavka. Njegove informacije mogu kružiti neograničeno dugo nakon što napuste izvornu mrežu, pojavljujući se na listama za punjenje vjerodajnica (credential stuffing), u kampanjama krađe identiteta (phishing) ili pokušajima krađe identiteta dugo nakon što je izvorni napad nestao iz vijesti.

Što ovo znači za vas

Ako ste potrošač, zaključak nije da se morate osobno braniti od ransomwarea – to je organizacijski problem za tvrtke koje drže vaše podatke. No, pomak prema iznudi krađom podataka znači da obavijesti o proboju zaslužuju više pažnje nego što je obično dobivaju, čak i kada tvrtka kaže da otkupnina nije plaćena ili da sustavi nisu bili poremećeni. "Ništa nije bilo šifrirano" više ne znači "ništa nije ukradeno".

Ako radite u IT-u ili sigurnosti, lekcija iz ovih 50+ primjera jest da sama strategija sigurnosnog kopiranja više nije dovoljna. Planiranje oporavka mora uzeti u obzir izloženost, a ne samo zastoj, što znači šifriranje osjetljivih podataka u mirovanju, ograničavanje onoga čemu bilo koji pojedinačni kompromitirani račun može pristupiti i tretiranje otkrivanja eksfiltracije jednako ozbiljno kao i samo otkrivanje ransomwarea.

Praktični koraci koje vrijedi poduzeti

Nekoliko navika uvelike pomaže bez obzira na to s koje ste strane proboja. Pojedinci bi trebali pratiti obavijesti o probojima povezane s uslugama koje koriste, omogućiti višefaktorsku autentifikaciju gdje god se nudi i tretirati neželjene poruke koje se pozivaju na detalje računa sa sumnjom, budući da ukradeni podaci često potiču naknadne phishing napade. Organizacije bi trebale pretpostaviti da svaki uspješan upad može uključivati krađu podataka čak i bez vidljive poruke s otkupninom te izgraditi planove odgovora koji se bave otkrivanjem i zaštitom korisnika, a ne samo obnovom sustava.

Rast ransomwarea od prijetnje čistim šifriranjem do šire ekonomije iznude podsjetnik je da borba nije samo u održavanju sustava u radu. Radi se o tome da se informacije uopće očuvaju privatnima, a to je odgovornost koja se proteže daleko izvan trenutka kad se poruka s otkupninom pojavi na ekranu.