Što pokazuju novi podaci o plaćanju otkupnine

Novo izvješće sigurnosne tvrtke Proofpoint, objavljeno u srijedu, donosi neugodnu potvrdu za sve koji su ikada razmišljali o plaćanju otkupnine ransomware skupini kako bi riješili problem: značajan udio žrtava koje plate na kraju se suoči s drugim zahtjevom za iznudu. Izvješće potkrepljuje nešto na što sigurnosni istraživači i timovi za odgovor na incidente upozoravaju već godinama – da se pregovori o otkupnini ne vode u dobroj vjeri i da plaćanje ne jamči da će napadač zaista otići.

Podaci tvrtke Proofpoint dodaju konkretne brojke obrascu koji su branitelji dugo sumnjali na temelju pojedinačnih slučajeva. Organizacije koje pristanu na zahtjev za otkupninom ne kupuju zatvaranje slučaja. Često kupuju drugu rundu pritiska za istog napadača, ili za sasvim drugu skupinu, da se vrate i zatraže još.

Zašto plaćanje otkupnine poziva na drugi napad

Logika ponovljene iznude jednostavna je kad razmislite iz perspektive napadača. Cijeli poslovni model ransomware skupine ovisi o tome da žrtve vjeruju kako plaćanje okončava krizu. No ne postoji pravni ugovor, mehanizam provedbe niti dovoljno snažan reputacijski rizik koji bi zajamčio riječ napadača nakon što novac promijeni vlasnika. Ako je žrtva već pokazala spremnost i sposobnost da plati, postaje privlačnija meta, a ne riješen račun.

To je dio razloga zašto sigurnosni istraživači opisuju pregovore o otkupnini kao suštinski različite od uobičajene poslovne transakcije. Druga strana nema poticaja da zaista ode. Kriminalna skupina koja je jednom uspješno iznudila plaćanje ima sve razloge testirati hoće li ista organizacija platiti ponovno – bilo ponovnim šifriranjem sustava, prijetnjom da će po drugi put objaviti prethodno ukradene podatke ili jednostavnim postavljanjem novog zahtjeva povezanog s izvornim probojem.

Ova dinamika usko je povezana s onim što industrija naziva dvostrukom iznudom ili višestrukom iznudom, gdje napadači ne samo da šifriraju datoteke nego i unaprijed kradu podatke, čime dobivaju više točaka pritiska za stiskanje žrtve čak i nakon što je otkupnina plaćena. Nalazi tvrtke Proofpoint sugeriraju da čak i nakon što ta početna kampanja pritiska uspije, izvor ne mora nužno presušiti.

Kako neotkriveni proboji olakšavaju ponovnu iznudu

Jedan od razloga zašto ponovljena iznuda tako dobro funkcionira za napadače jest taj što mnoge žrtve u trenutku kad odluče platiti ne razumiju u potpunosti opseg proboja. Ako organizacija otkrije šifrirane datoteke i pregovara o otkupnini, a da prethodno nije utvrdila kojim je podacima točno pristupljeno, koji su kopirani ili što je ostavljeno kao stražnji ulaz, ona je zapravo pristala na cijenu ne znajući što zapravo kupuje natrag.

Taj raskorak između otkrivanja i odgovora stalna je tema u istraživanjima o ransomwareu. Kao što je opisano u povezanom izvješću o neuspjesima u otkrivanju ransomwarea, gotovo polovica svih žrtava ransomwarea izgubi podatke prije nego što uopće shvate da je napad u tijeku. To kašnjenje ovdje ima golemu važnost: ako žrtva ne zna da je napadač eksfiltrirao podatke tjednima prije aktiviranja ransomwarea, plaćanje za otključavanje datoteka ne rješava ništa u vezi s ukradenim informacijama koje leže na poslužitelju kriminalca, a koje se mogu ponovno unovčiti kroz drugi zahtjev, prodati odvojeno ili iskoristiti za novu prijetnju curenjem podataka kasnije.

Obrambeni koraci: sigurnosne kopije, nadzor i planiranje odgovora na incidente

Praktična poruka izvješća tvrtke Proofpoint nije da se plaćanje otkupnine nikada ne smije dogoditi ni pod kojim okolnostima. Poruka je da se plaćanje nikada ne smije tretirati kao zajamčeno rješenje. Organizacijama, kao i pojedincima koji upravljaju manjim mrežama ili tvrtkama, bolje je ulagati unaprijed u prevenciju i otkrivanje nego naknadno u pregovore.

To znači održavanje redovitih, testiranih, izvanmrežnih sigurnosnih kopija kako bi se šifrirane datoteke mogle obnoviti bez plaćanja ikome. To znači ulaganje u alate za nadzor koji mogu uhvatiti neovlašteni pristup podacima prije nego što napadači stignu eksfiltrirati velike količine osjetljivih informacija. I to znači postojanje plana odgovora na incidente prije nego što se napad dogodi, plana koji uključuje forenzičku istragu kako bi se točno utvrdilo čemu je pristupljeno, a ne samo jesu li datoteke šifrirane.

Što to znači za vas

Za vlasnike malih tvrtki i pojedince, poruka ovog istraživanja je jasna: nemojte pretpostavljati da je plaćanje otkupnine brzo, čisto rješenje kakvim se u tom trenutku čini. Napadači koji su već dokazali da su vas spremni iznuđivati imaju i sredstva i motiv da to ponovno učine. Prava obrana od ponovljenih iznudničkih napada ransomwarea nije bolja strategija pregovaranja, već smanjenje izgleda da se uopće nađete u toj poziciji – kroz snažne sigurnosne kopije, brže otkrivanje i jasan plan odgovora.

Provedivi zaključci

  • Tretirajte plaćanje otkupnine kao krajnje sredstvo, a ne zajamčeni popravak, budući da podaci tvrtke Proofpoint pokazuju da se napadači često vraćaju s novim zahtjevima.
  • Dajte prednost izvanmrežnim, testiranim sigurnosnim kopijama kako samo šifriranje ne bi moglo iznuditi odluku o plaćanju.
  • Uložite u alate za otkrivanje koji rano hvataju eksfiltraciju podataka, jer odgođeno otkrivanje daje napadačima više poluga za ponovnu iznudu.
  • Izradite plan odgovora na incidente prije nego što do napada dođe, uključujući forenzičke korake za utvrđivanje punog opsega svakog proboja.
  • Pretpostavite da svi podaci ukradeni prije plaćanja otkupnine ostaju budući rizik, bez obzira na to što napadači obećaju.