Ransomware više nije samo o enkripciji

Godinama se standardni savjet za borbu protiv ransomwarea vrtio oko jedne stvari: sigurnosno kopirajte podatke kako nikada ne biste morali platiti otkupninu. Taj savjet i dalje vrijedi, no prema nedavnoj analizi tvrtke KnowBe4, specijalizirane za edukaciju o sigurnosnoj svijesti, on više ne prikazuje potpunu sliku toga kako moderne ransomware operacije zapravo funkcioniraju.

Ransomware je evoluirao u ono što KnowBe4 opisuje kao model poslovnog prekida, izgrađen manje na grubom malveru, a više na ukradenim identitetima i socijalnom inženjeringu. Umjesto jednostavnog zaključavanja datoteka i zahtjeva za plaćanje u zamjenu za ključ za dešifriranje, napadači se sve više fokusiraju na ulazak u organizaciju korištenjem legitimnih, ukradenih vjerodajnica, a zatim koriste taj povjerljivi pristup kako bi prouzročili maksimalnu operativnu štetu prije nego itko primijeti.

Ova promjena jednako je važna za privatnost koliko i za IT sigurnost. Kada ransomware grupe ukradu identitete kako bi provalile unutra, osobni podaci povezani s tim identitetima — zaposleničke prijave, zapisi o klijentima, interna komunikacija — postaju dio napadne površine. Ransomware incident danas rijetko je samo događaj enkripcije; često je i događaj izloženosti podataka.

Zašto su ukradeni identiteti nova ulazna točka

Tradicionalna slika ransomware napada uključuje zlonamjerni privitak e-pošte ili ranjiv poslužitelj bez zakrpa. Ti vektori nisu nestali, ali ih sve više dopunjuju ili zamjenjuju jednostavnije taktike: krađa vjerodajnica putem phishinga, nagovaranje službe za podršku na resetiranje lozinki ili iskorištavanje slabih postavki višefaktorske autentifikacije za pristup kao povjerljivi korisnik.

Jednom kada uđu unutra, napadači ne trebaju "hakirati" ništa u tradicionalnom smislu. Prijavljuju se kao bilo koji drugi zaposlenik, tiho se kreću kroz mrežu i identificiraju sustave i podatke čiji će prekid prouzročiti najviše boli, a time i najviše poluge za zahtjev za otkupninu. To KnowBe4 misli pod opisivanjem ransomwarea kao modela poslovnog prekida: cilj nije samo enkriptirati podatke, već zaustaviti operacije organizacije dok se ne izvrši plaćanje.

Ovaj pristup odjekuje onim što je primijećeno u širem ekosustavu ransomwarea-kao-usluge. Grupe poput operacije detaljno opisane u našem izvještaju o LockBit 5.0 i životu nakon Operacije Cronos pokazuju kako su ransomware partneri profesionalizirali svoje operacije, tretirajući svaki napad manje kao provalu, a više kao proračunato poslovno pregovaranje, s taktikama pritiska i prijetnjama reputaciji.

Ponovno promišljanje ransomware obrana za prijetnju usmjerenu na identitet

Ako su krađa identiteta i socijalni inženjering sada primarni način na koji ransomware dobiva uporište, onda su obrane izgrađene isključivo oko sigurnosti mrežnog perimetra i antivirusnih alata usmjerene na jučerašnji problem. KnowBe4-ovo okvirno razmišljanje sugerira da organizacije moraju tretirati verifikaciju identiteta i ljudsko ponašanje kao ključne dijelove ransomware obrane, a ne kao naknadne misli.

U praksi to znači snažnije procese verifikacije identiteta za resetiranje lozinki i oporavak računa, višefaktorsku autentifikaciju otpornu na phishing umjesto lako zaobilazivih SMS kodova te kontinuiranu edukaciju zaposlenika koja tretira socijalni inženjering kao aktivnu, evoluirajuću prijetnju, a ne kao jednokratnu vježbu usklađivanja. Sigurnosne kopije i segmentacija mreže i dalje su ključni, ali su sada druga linija obrane, a ne prva.

Ulozi oko ove promjene također privlače pozornost na razini politike. Kao što smo izvijestili, vlade razmatraju zabranu plaćanja otkupnine usred napada vođenih umjetnom inteligencijom, što je znak da regulatori prepoznaju da trenutni model obrane — plati da problem nestane — nije održiv kako napadi postaju brži i uvjerljiviji.

Što to znači za vas

Bilo da ste IT donositelj odluka ili netko čiji poslodavac čuva vaše osobne podatke, ova evolucija ransomware taktika ima stvarne posljedice. Ako napadači ulaze krađom identiteta umjesto iskorištavanjem grešaka u softveru, onda sigurnost vaših vlastitih vjerodajnica za prijavu i to koliko pažljivo vaša organizacija verificira identitet prije dodjele pristupa izravno utječe na to koliko je ta organizacija ranjiva na skup prekid rada.

Za pojedince ovo pojačava poznatu, ali sve hitniju poantu: ponovno korištene lozinke, slab MFA i ležerni odgovori na neočekivane zahtjeve za resetiranje lozinke nisu samo osobni rizici — oni su potencijalne ulazne točke za napade koji se mogu proširiti i utjecati na podatke tisuća ljudi. Za poduzeća to znači da ransomware obranu treba razumjeti kao problem identiteta i ljudskog ponašanja jednako koliko i kao tehnički problem.

Praktični zaključci

  • Omogućite višefaktorsku autentifikaciju otpornu na phishing gdje god je to moguće i ne oslanjajte se isključivo na SMS kodove.
  • Budite skeptični prema neočekivanim zahtjevima za resetiranje lozinke ili verifikaciju računa, čak i onima koji izgledaju kao da dolaze od interne službe za podršku.
  • Organizacije bi trebale revidirati kako funkcionira verifikacija identiteta za oporavak računa, jer je to sve češća ulazna točka za ransomware.
  • Tretirajte redovitu edukaciju o sigurnosnoj svijesti kao stalnu potrebu, a ne kao jednokratnu obvezu, jer se taktike socijalnog inženjeringa brzo razvijaju.
  • Održavajte izvanmrežne, testirane sigurnosne kopije kao drugu liniju obrane, razumijevajući da je zaustavljanje provala temeljenih na identitetu jednako važno kao i oporavak od enkripcije.

Evolucija ransomwarea u model poslovnog prekida vođen identitetom ne znači da je borba nedobitna. Znači da se borba pomaknula. Obrane koje su se nekada usko fokusirale na malver i sigurnosne kopije sada moraju uzeti u obzir koliko lako ukradeni identitet može otvoriti vrata cijeloj mreži, a to počinje tretiranjem sigurnosti identiteta kao nerazdvojivog dijela same ransomware obrane.