Ransomware napadi više nisu problem rezerviran za velike korporacije s dubokim džepovima i posvećenim sigurnosnim timovima. Prema Michaelu Sjøbergu i Peteru Skovbou iz Delta Crisis, srednje velike tvrtke, okosnica mnogih nacionalnih gospodarstava, sve se češće nalaze paralizirane od strane napadača koji šifriraju kritične sustave i zahtijevaju plaćanje za vraćanje pristupa. Njihove smjernice, objavljene putem Handelsblatta, pružaju rijedak uvid iznutra u to kako tvrtke zapravo pregovaraju s cyber iznudivačima i koji koraci mogu smanjiti štetu prije nego što se napad uopće dogodi.
Zašto su srednje velike tvrtke nova meta
Godinama su naslovi o ransomwareu bili usredotočeni na bolnice, vladine agencije i multinacionalne korporacije. Ta se slika mijenja. Napadači su shvatili da manjim i srednjim tvrtkama često nedostaje slojevita obrana većih poduzeća, no i dalje posjeduju vrijedne podatke i ne mogu si priuštiti dugotrajne zastoje. Ovaj pomak odražava širi trend dokumentiran drugdje u ransomware ekosustavu, gdje su se neke skupine pomaknule prema onome što istraživači nazivaju potiskivanje područja SME mreža, ciljajući čitave klastere manjih organizacija umjesto mukotrpnog odabira pojedinačnih visokovrijednih žrtava. Logika je jednostavna: volumen zamjenjuje preciznost, a čak i skromna plaćanja otkupnine se zbrajaju kada se pomnože s desecima žrtava.
Iskustvo Delta Crisis sugerira da kada napad jednom pogodi, razlika između tvrtke koja se oporavi uz ograničenu štetu i one koja pretrpi trajnu štetu često se svodi na pripremljenost i način na koji se samo pregovaranje vodi u prvim satima i danima.
Unutar pregovaranja o ransomwareu
Prema Sjøbergu i Skovbou, pregovaranje s cyber kriminalcima nije jednostavno pitanje odlučivanja hoće li se platiti. Zahtijeva razumijevanje poslovnog modela napadača, provjeru podataka koji su zapravo ukradeni ili šifrirani te upravljanje komunikacijom na način koji niti izaziva skupinu da uništi podatke niti signalizira očaj koji bi mogao povećati zahtjev. To je delikatan posao i sve više nalikuje profesionalnoj uslužnoj industriji s obje strane stola. Ta je profesionalizacija vidljiva šire u ransomware krajoliku. Skupine su usvojile strukturirane modele ransomware-as-a-service, uzorak također vidljiv u upozorenjima o širenju Gunra ransomwarea u RaaS operaciju, gdje affiliatei pokreću napade koristeći alate koje je izgradila temeljna skupina u zamjenu za udio u prihodima. Rezultat je skalabilniji i ponovljiviji proces iznude, što je upravo razlog zašto je strategija pregovaranja toliko važna za žrtvu.
Ulazna točka za mnoge od ovih napada također zaslužuje pozornost. Napadači često dobivaju početni pristup putem socijalnog inženjeringa, a ne iskorištavanjem nejasnih tehničkih nedostataka. Kampanje koje zlorabe alate poput Microsoft Teamsa za lažno predstavljanje lažne IT podrške pokazuju kako jedan uvjerljiv telefonski poziv ili chat poruka može otvoriti vrata potpunom ugrožavanju mreže, mnogo prije nego što se pojavi bilo kakva poruka o otkupnini.
Ulozi privatnosti i izloženosti podataka
Pregovaranje o ransomwareu nije samo vraćanje pristupa šifriranim datotekama. Moderne ransomware skupine obično ukradu podatke prije šifriranja, a zatim prijete da će objaviti ili prodati te informacije ako se ne izvrši plaćanje. Ovaj model dvostruke iznude značajno podiže uloge za privatnost. Zapisi o kupcima, podaci o zaposlenicima i povjerljive poslovne informacije mogu završiti izloženi bez obzira na to plaća li tvrtka ili ne. Napadači su također postali sofisticiraniji u izbjegavanju otkrivanja tijekom faze upada, uključujući tehnike koje u potpunosti onemogućuju sigurnosne alate, kao što se vidi u izvješćima o GodDamn ransomwareu koji zlorabi potpisani upravljački program za ubijanje antivirusnog softvera. Takva prikrivenost znači da proboj može proći nezapaženo mnogo dulje, dajući napadačima više vremena za izvlačenje osjetljivih podataka prije nego što itko shvati da nešto nije u redu.
Što to znači za vas
Ako vodite ili radite u srednje velikoj tvrtki, poruka Delta Crisis je jasna: spremnost na ransomware više nije opcija i počinje mnogo prije nego što se napad dogodi. Osnovna higijena, offline sigurnosne kopije, testirani planovi odgovora na incidente i obuka osoblja protiv socijalnog inženjeringa ostaju najjača obrana. Ako se napad ipak dogodi, odluka o tome hoće li se pregovarati i kako nikada se ne smije donositi u izolaciji ili pod panikom. Iskusni pregovarači razumiju psihologiju napadača, provjeravaju tvrdnje prije nego što im vjeruju i znaju kako kupiti vrijeme bez eskalacije prijetnji ukradenim podacima.
Za pojedince čiji se podaci mogu nalaziti u sustavima tvrtke, ovo također naglašava zašto organizacije duguju kupcima transparentnost kada dođe do proboja, budući da pregovaranje o ransomwareu izravno utječe na to hoće li osobne informacije ostati privatne ili završiti procurjele.
Ključni zaključci
Tvrtke svih veličina trebale bi tretirati ransomware kao scenarij "kada", a ne "ako". Izgradite plan odgovora na incidente prije napada, održavajte testirane offline sigurnosne kopije i unaprijed identificirajte tko će voditi komunikaciju ako iznudivači uspostave kontakt. Obučite osoblje za prepoznavanje pokušaja socijalnog inženjeringa, posebno lažnog predstavljanja putem svakodnevnih alata za suradnju. Ako pregovaranje postane nužno, uključite iskusne profesionalce umjesto improvizacije, budući da način na koji se tvrtka očituje u prvim satima može oblikovati i financijski ishod i koliko će osobnih ili korporativnih podataka na kraju biti izloženo.
