Žrtve ransomwarea koje plate nadajući se da će problem nestati često ostaju razočarane. Novoobjavljeno globalno istraživanje, AI-Era Ransomware Report, anketiralo je gotovo 1.000 sigurnosnih stručnjaka na 12 tržišta i otkrilo da plaćanje otkupnine nije ni blizu zajamčenom rješenju. Nalazi dodatno potkrepljuju upozorenje koje sigurnosni istraživači ponavljaju godinama: ponovljena plaćanja otkupnine u ransomware napadima su stvaran i rastući rizik, a ne rijedak rubni slučaj.

Što je otkrilo AI-Era Ransomware Report izvješće

Istraživanje prikazuje ozbiljnu sliku o tome kako organizacije reagiraju kada ih ransomware pogodi. Više od polovice organizacija koje su pretrpjele napad, njih 54%, na kraju je platilo otkupninu u pokušaju da povrate svoje osjetljive podatke. Od onih koji su platili, njih 56% doista je ponovno dobilo pristup svojim datotekama ili sustavima. No, zabrinjavajući broj je ono što se dogodilo nakon toga: više od trećine žrtava, njih 37%, primilo je drugi zahtjev za otkupninu nakon što su već platili prvu.

Sama ta statistika trebala bi promijeniti način na koji organizacije razmišljaju o odgovoru na ransomware. Plaćanje nije jednokratna transakcija koja zaključuje incident. Za više od trećine žrtava u ovom istraživanju, to je bio samo početni potez u dužem, skupljem ciklusu.

Zašto plaćanje ne jamči sigurnost niti povrat podataka

Vrijedi se zadržati na matematici ovdje. Čak i među organizacijama koje su platile, gotovo polovica nije u potpunosti povratila svoje podatke. A veliki dio onih koji su doista dobili svoje datoteke natrag ponovno je bio meta, bilo od strane istog napadača koji je tražio više novca, bilo od strane druge skupine koja je plaćanje vidjela kao dokaz da je žrtva spremna pregovarati.

Ovaj obrazac podudara se s drugim nedavnim istraživanjima. Proofpoint istraživanje koje je obradio vpn.social također je pokazalo da plaćanje ransomware skupinama često ima kontraefekt, pri čemu se značajan dio žrtava koje plate suočava s ponovljenim pokušajima ucjenjivanja. Jednom kada organizacija plati, može završiti na popisu potvrđenih platitelja — informaciji koja kruži među kriminalnim skupinama i čini tu organizaciju privlačnijom metom za buduće napade, a ne manje privlačnom.

Također, u pregovorima oko ransomwarea ne postoji provedivi ugovor. Napadači nemaju pravni niti reputacijski interes ispoštovati svoj dio dogovora nakon što je novac prebačen. Ključevi za dešifriranje mogu biti nepotpuni, pogrešni ili jednostavno nikada isporučeni. Podaci koji su ukradeni i korišteni kao poluga pritiska i dalje mogu biti prodani, objavljeni ili zadržani za drugi krug ucjenjivanja, bez obzira na ono što je obećano.

Preventivne alternative: sigurnosne kopije, enkripcija i segmentacija mreže

S obzirom na te izglede, otpornija strategija je smanjiti mogućnost da uopće morate donositi odluku hoćete li platiti. Nekoliko praksi dosljedno se pokazuje kao učinkovita obrana:

  • Održavajte offline, testirane sigurnosne kopije. Sigurnosne kopije koje su odvojene od glavne mreže i redovito testirane za obnovu znače da se organizacija može oporaviti bez pregovaranja s napadačem.
  • Enkriptirajte osjetljive podatke u mirovanju i prijenosu. Čak i ako napadači izvuku datoteke, snažna enkripcija ograničava ono što zapravo mogu iskoristiti ili prodati, smanjujući polugu pritiska iza prijetnje curenjem podataka.
  • Segmentirajte mreže. Podjela sustava na izolirane zone ograničava koliko se ransomware može proširiti nakon što dobije početno uporište, zadržavajući štetu na manjem dijelu organizacije.
  • Redovito primjenjujte zakrpe i pratite sustave. Mnogi ransomware upadi još uvijek iskorištavaju poznate, nezakrpljene ranjivosti ili slabe vjerodajnice za daljinski pristup, pa osnovna higijena zatvara velik dio ulaznih točaka.

Nijedna od ovih mjera ne čini organizaciju imuni na napad, ali zajedno smanjuju i vjerojatnost uspješnog proboja i pritisak na plaćanje ako do njega dođe.

Izrada plana odgovora na incident prije nego što napad dogodi

Organizacije koje najbolje prolaze nakon ransomware incidenta obično su one koje su već uvježbale svoj odgovor prije nego što se napad dogodio. To znači imati dokumentiran plan koji precizira tko donosi odluku o plaćanju, koje pravne kontakte i kontakte za provedbu zakona treba obavijestiti, kako se upravlja komunikacijom sa zaposlenicima i kupcima te kako se sustavi izoliraju i obnavljaju.

Provođenje tabličnih vježbi (tabletop exercises), gdje osoblje prolazi kroz simulirani scenarij napada, pomaže otkriti praznine u planu dok još nema stvarnog pritiska. Također ubrzava stvarni odgovor kada do incidenta dođe, skraćujući prozor izloženosti i smanjujući iskušenje za plaćanje jednostavno zato što se čini da nijedna druga opcija nije spremna.

Što to znači za vas

Za IT lidere i sigurnosne timove, ovo izvješće podsjetnik je da su ponovljena plaćanja otkupnine u ransomware napadima dovoljno česta da ih treba uzeti u obzir pri planiranju, a ne kao najgori mogući scenarij. Tretirajte plaćanje otkupnine kao posljednje sredstvo sa stvarnom šansom za neuspjeh, a ne kao pouzdano osiguranje. Planirajte proračun za prevenciju (sigurnosne kopije, segmentaciju, praćenje) na isti način na koji biste planirali bilo koji drugi temeljni infrastrukturni trošak, jer brojke pokazuju da je dugoročno jeftinije od ponovljenih pregovora s napadačima.

Za pojedinačne korisnike i manje organizacije bez namjenskog sigurnosnog tima, ista načela se skaliraju prema dolje: čuvajte offline kopiju svega nezamjenjivog, koristite enkripciju gdje je dostupna i unaprijed znajte koga biste nazvali ako vam sustavi ikada budu zaključani.

Ključni zaključci

  • 54% anketiranih organizacija koje su pretrpjele ransomware napad platilo je otkupninu, ali samo 56% platitelja u potpunosti je povratilo pristup svojim podacima.
  • 37% organizacija koje su platile pogođeno je drugim zahtjevom za otkupninu, što pokazuje da plaćanje ne okončava rizik.
  • Offline sigurnosne kopije, enkripcija i segmentacija mreže smanjuju i izglede za uspješan napad i pritisak na plaćanje.
  • Testirani plan odgovora na incident, izrađen prije nego što se napad dogodi, skraćuje vrijeme oporavka i smanjuje ovisnost o plaćanju otkupnine.
  • Čitatelji mogu pregledati nalaze Proofpoint istraživanja za dodatne potvrđujuće podatke o tome koliko često plaćanje otkupnine ne uspijeva riješiti napad.