Zašto plaćanje otkupnine ne znači kraj problema

Kada ransomware zaključa sustave tvrtke, nagon da se plati i nastavi dalje razumljiv je. Novo istraživanje sigurnosne tvrtke Proofpoint, koje obuhvaća 953 tvrtke, sugerira da taj nagon može imati suprotan učinak. Prema rezultatima, organizacije koje plate zahtjev za otkupninu često postaju privlačnije mete, a ne manje. Jednom kada kriminalna skupina potvrdi da je žrtva spremna platiti, ista žrtva može biti označena za naknadni napad.

To je važno jer se logika koja stoji iza plaćanja otkupnine uvijek temeljila na jednostavnoj razmjeni: novac za okončanje problema. Rukovoditelji odobravaju plaćanja vjerujući da time vraćaju sustave, brišu ukradene podatke, ograničavaju prekid poslovanja i štite klijente. Istraživanje Proofpointa ukazuje da je ta razmjena daleko manje pouzdana nego što većina organizacija pretpostavlja. Plaćanje ne okončava nužno odnos s napadačem; u nekim slučajevima, pokreće novi.

Poslovna logika iza drugog zahtjeva

Skupine koje se bave ransomwareom djeluju poput poduzeća, a poduzeća traže stalne kupce. Tvrtka koja je već pokazala da će platiti, iz perspektive kriminalca, dokazani je izvor prihoda. Ima obrtni kapital, upravljački tim koji je spreman brzo odobriti plaćanje i vjerojatno još uvijek ima ranjivosti koje su omogućile uspjeh prvog napada.

Posljednja je stavka ključna. Plaćanje otkupnine rješava trenutnu krizu, ali rijetko kada otklanja temeljne sigurnosne propuste koji su napadačima omogućili ulaz. Ako isti vektor krađe identiteta (phishing), nezakrpani softver ili izložena točka udaljenog pristupa i dalje postoje nakon incidenta, ništa ne sprječava istu skupinu – ili podružnicu koja je kupila pristup podacima iste žrtve – da pokuša ponovno. Naše ranije izvješće o istraživanju Proofpointa o platiteljima ransomwarea dublje istražuje koliko se često ti ponovljeni incidenti događaju i zašto samo plaćanje može poslužiti kao signal drugim kriminalnim skupinama da je meta meka.

Smanjenje rizika od iznude prije nego što započne

Dobra je vijest da organizacije ovdje nisu bespomoćne. Koraci koji smanjuju rizik od ransomwarea uglavnom su isti koje sigurnosni timovi preporučuju godinama, samo su, u svjetlu ovih podataka, još hitniji.

Održavanje izvanmrežnih, testiranih sigurnosnih kopija i dalje je najučinkovitiji način da se uopće izbjegne dvojba platiti ili ne platiti. Ako se sustavi mogu vratiti iz sigurnosne kopije bez potrebe za dešifriranjem ključa napadača, cijela premisa iznude propada. Segmentacija mreže također je važna: ograničavanje dokle se napadač može kretati nakon što uđe smanjuje opseg štete od svakog pojedinačnog kompromisa, što zauzvrat smanjuje pritisak tijekom pregovora o otkupnini.

Kontinuirano praćenje prijetnji i detekcija na krajnjim točkama pomažu uhvatiti upade prije nego što prerastu u potpune enkripcijske događaje. Mnogi ransomverski napadi odvijaju se danima ili tjednima između početnog pristupa i konačnog korisnog tereta; taj je prozor prilika za interveniranje. Sigurne prakse udaljenog pristupa, uključujući upotrebu VPN-a za šifrirane veze i višefaktorsku autentifikaciju za svakoga tko se prijavljuje izvan korporativne mreže, zatvaraju jednu od uobičajenijih ulaznih točaka koje kriminalci iskorištavaju. Nijedna od ovih mjera ne jamči imunitet, ali zajedno smanjuju izglede da se tvrtka uopće nađe pred porukom o otkupnini.

Što to znači za vas

Ako vašu organizaciju ikada pogodi ransomware, nalazi Proofpointa sugeriraju da se plaćanje ne bi trebalo tretirati kao čisto rješenje. Prije odobravanja bilo kakve isplate, vrijedi provjeriti je li temeljna ranjivost identificirana i zatvorena, jer ako nije, plaćanje je možda samo prva rata u trajnom odnosu s napadačem.

Ovo je ujedno i trenutak da se agencije za provedbu zakona uključe rano, a ne kao naknadna misao. Agencije koje prate skupine ransomwarea ponekad mogu ponuditi alate za dešifriranje, obavještajne podatke o prijetnjama o ponašanju određene bande ili kontekst o tome ima li skupina povijest ponavljanja iznuda. Angažiranje vanjskih stručnjaka za odgovor na incident prije donošenja odluke o plaćanju, a ne nakon, organizaciji daje jasniju sliku o stvarnim mogućnostima.

Za manje tvrtke bez namjenskih sigurnosnih timova, računica je slična, ali resursi su oskudniji. To prevenciju čini još važnijom: osnovna higijena poput redovitih sigurnosnih kopija, zakrpanog softvera i sigurnih alata za udaljeni pristup više smanjuje rizik nego što bilo kakva odluka nakon incidenta ikada može.

Ključni zaključci

Osnovna pouka ovog istraživanja Proofpointa jasna je: plaćanje otkupnine kupuje vrijeme, a ne nužno sigurnost. Organizacije bi svaki incident ransomwarea trebale tretirati kao dokaz sigurnosnog propusta koji treba otkloniti, bez obzira na to je li izvršeno plaćanje. Praktični koraci koje vrijedi staviti na prvo mjesto uključuju održavanje izvanmrežnih sigurnosnih kopija, segmentiranje mreža, praćenje ranih znakova upada i osiguravanje udaljenog pristupa snažnom autentifikacijom i šifriranim vezama.

Najvažnije, svaka odluka o plaćanju trebala bi biti donesena uz ozbiljan plan sanacije, a ne umjesto njega. Bande ransomwarea vode posao, a podaci sugeriraju da one točno znaju kojim kupcima vrijedi naplatiti dvaput.