Novi podaci potvrđuju da plaćanje otkupnine ne kupuje trajnu sigurnost
Novo izvještavanje koje ističe The Register, a pokriva kratki članak SC Medije, dodaje sve većem broju dokaza da plaćanje zahtjeva za otkupninu ne sprječava pouzdano buduće napade. Organizacije koje plate kako bi povratile podatke ili zaustavile iznudu često bivaju ponovno mete, ponekad od iste kriminalne skupine, a ponekad od sasvim druge koja je saznala da je žrtva spremna platiti. Ovaj obrazac pojavljuje se čak i dok koordinirani napori provedbe zakona, poput Operacije Cronos, rade na razbijanju velikih ransomware operacija iznutra.
Zaključak je jednostavan, ali neugodan za mnoge organizacije: plaćanje otkupnine i ponovni napadi usko su povezani, ne zato što plaćanje jamči sigurnost, već zato što napadačima često signalizira da je meta profitabilna i nepripremljena.
Zašto plaćanje stvara lažan osjećaj sigurnosti
Kada je tvrtka isključena iz svojih sustava ili joj prijeti javno curenje podataka, plaćanje otkupnine može se činiti kao najbrži put natrag normalnom poslovanju. No, novi podaci pojačavaju ono što sigurnosni istraživači govore godinama: plaćanje je transakcija, a ne jamstvo. Ransomware bande su kriminalna poduzeća i ne postoji provediv dogovor da će podaci biti izbrisani, da će ključevi za dešifriranje doista raditi ili da iste ranjivosti neće biti ponovno iskorištene.
Organizacije koje plate često to čine jer nemaju odgovarajuće sigurnosne kopije, planove odgovora na incidente ili internu stručnost za brzu obnovu sustava. Te iste temeljne slabosti obično ostaju na mjestu nakon što je otkupnina plaćena, što znači da su vrata koja su napadače pustila unutra prvi put često još uvijek otvorena. Plaćanje rješava neposrednu krizu, a ne korijenski uzrok.
Upravo je to razlog zašto je Proofpointovo istraživanje otkrilo da plaćanje ransomware bandama često ima suprotan učinak mnogo češće nego što žrtve očekuju. Istraživanje je stavilo konkretne brojke iza upozorenja, pokazujući da je značajan udio organizacija koje su platile i dalje doživio gubitak podataka, dodatne pokušaje iznude ili ponovne provale.
Kako ransomware bande identificiraju i ponovno ciljaju prethodne platiše
Ransomware operacije sve više funkcioniraju poput tvrtki, zajedno s pridruženim mrežama, korisničkom podrškom za žrtve i dijeljenjem obavještajnih podataka o tome koje mete vrijedi napasti. Jednom kada organizacija plati, ta informacija može kružiti među kriminalnim skupinama, bilo izravnim dijeljenjem podataka, prodajom mrežnog pristupa ili jednostavnom reputacijom na podzemnim forumima.
Žrtva koja plati brzo i bez značajnog otpora postaje poznata veličina: meka meta s pokazanom spremnošću da preda novac. Čak i kada akcije provedbe zakona poput Operacije Cronos uspiju poremetiti specifičnu ransomware infrastrukturu, temeljni ekosustav posrednika pristupa, ukradene vjerodajnice i nezakrpane ranjivosti koje su dovele do izvorne provale često ostaju dostupne drugim akterima prijetnji. Ometanje jedne bande ne štiti nužno prethodnu žrtvu od druge koja iskorištava iste slabosti.
Praktična obrana: Sigurnosne kopije, segmentacija i ojačavanje VPN-a
Najjasnija lekcija iz ovih podataka jest da su prevencija i otpornost važniji od pregovaranja. Nekoliko praktičnih koraka čini mjerljivu razliku:
- Održavajte izvanmrežne, testirane sigurnosne kopije. Sigurnosne kopije koje su odspojene s glavne mreže i redovito testirane za obnovu najučinkovitiji su način da se uopće izbjegne potreba za plaćanjem.
- Segmentirajte mreže. Ograničavanje koliko daleko se napadač može kretati nakon što uđe smanjuje radijus eksplozije bilo kojeg pojedinačnog kompromitiranog računa ili uređaja.
- Ojačajte udaljeni pristup. VPN-ovi i alati za udaljenu radnu površinu uobičajene su ulazne točke za ransomware. Provođenje višefaktorske autentifikacije, pravovremeno zakrpavanje VPN softvera i zatvaranje neiskorištenih točaka udaljenog pristupa uklanja lako uporište napadačima.
- Izgradite plan odgovora na incident prije nego što se napad dogodi. Znati koga nazvati, kako izolirati pogođene sustave i kako komunicirati s dionicima smanjuje pritisak da se plati samo da bi problem brzo nestao.
Što ovo znači za vas
Bilo da vodite IT za malu tvrtku ili jednostavno upravljate vlastitim uređajima, poruka iz ovih podataka je ista: nemojte pretpostavljati da je plaćanje sigurnosna mreža. Ako vaša organizacija ikada bude pogođena zahtjevom za otkupninu, tretirajte incident kao signal da postoje sigurnosne praznine, a ne kao pregovor koji treba riješiti i zaboraviti. Organizacije koje su najbolje pozicionirane da se brzo oporave i izbjegnu da postanu ponovne žrtve su one koje su ulagale u sigurnosne kopije, nadzor mreže i kontrole pristupa prije nego što se napad dogodio, umjesto da se grčevito pokušavaju odgovoriti nakon činjenice.
Ključni zaključci
- Novi podaci pokazuju da plaćanja otkupnine i ponovni napadi često idu ruku pod ruku, potkopavajući pretpostavku da plaćanje rješava prijetnju.
- Akcije provedbe zakona protiv određenih bandi ne uklanjaju širi ekosustav ranjivosti koje su dovele do izvornog napada.
- Izvanmrežne sigurnosne kopije, segmentacija mreže i ojačan udaljeni pristup pouzdanija su obrana od bilo kakvog pregovaranja o plaćanju.
- Organizacije bi trebale izgraditi planove odgovora na incident sada, umjesto da odlučuju kako reagirati tijekom aktivnog napada.
Ransomware neće nestati, ali odluku o plaćanju ne treba tretirati kao brzo rješenje. Davanje prioriteta prevenciji, otpornim sigurnosnim kopijama i sigurnom udaljenom pristupu i dalje je najučinkovitiji način da svoje podatke i svoju organizaciju držite izvan nišana napadača.
