Što pokazuju novi podaci o ponovnom ransomware iznuđivanju

Svježi podaci koje je objavio Connor Jones na DataBreaches.Net potvrđuju ono što su sigurnosni istraživači sumnjali godinama: plaćanje ransomware bandi ne okončava muku, već često samo označava početak druge runde. Prema anketnim podacima navedenima uz izvještaj, 58 posto pogođenih organizacija u Ujedinjenom Kraljevstvu odlučilo je platiti otkupninu prošle godine. Od onih koji su platili, 22 posto ponovno je napala ista ili druga kriminalna skupina tražeći drugu isplatu.

To znači da otprilike svaka peta organizacija koja je donijela tešku odluku o plaćanju nije dobila ništa trajno za svoj novac. Ciklus iznuđivanja jednostavno se resetirao, ponekad unutar nekoliko tjedana. Ovaj obrazac ponovnog ransomware iznuđivanja postaje definirajuće obilježje trenutnog pejzaža prijetnji i prisiljava sigurnosne timove i rukovoditelje da preispitaju cijelu računicu o tome je li plaćanje ikad racionalan odgovor.

Zašto jednokratno plaćanje poziva na drugi napad

Logika ponovnog iznuđivanja iz kriminalčeve perspektive je jednostavna. Jednom kada organizacija pokaže da je spremna platiti, postaje označena meta. Ransomware operateri vode evidenciju o tome koje su žrtve popustile, koliko su brzo platile i koliko su bile spremne predati. Te informacije često kruže među partnerskim mrežama i ponekad se prodaju ili dijele između kriminalnih skupina koje djeluju prema modelu ransomwarea kao usluge.

Žrtva koja jednom plati 500.000 dolara učinkovito signalizira da ima i novčane rezerve i toleranciju na rizik da plati ponovno. Napadači znaju da drugi upad, čak i manje sofisticiran, ima dobre izglede za uspjeh ako temeljne ranjivosti koje su omogućile prvi proboj nikada nisu u potpunosti uklonjene. U mnogim slučajevima dvostrukog i trostrukog iznuđivanja, ukradeni podaci nisu ni izbrisani nakon plaćanja, usprkos obećanjima o suprotnom, ostavljajući otvorena vrata za naknadni zahtjev izgrađen oko prijetnje objavljivanjem tih istih ukradenih informacija.

Upravo zato agencije za provedbu zakona, uključujući FBI, dosljedno savjetuju protiv plaćanja otkupnina. Plaćanje ne jamči oporavak podataka, ne jamči brisanje ukradenih datoteka i, kako pokazuju ovi novi podaci, ne jamči da će se napadači držati podalje.

Proaktivne obrane koje smanjuju rizik od ransomwarea

Ako plaćanje ne rješava pouzdano problem, održiviji put je smanjenje izgleda za uspješan proboj uopće. Nekoliko obrambenih slojeva dosljedno se pojavljuje u nalazima odgovora na incidente kao razlika između obuzdanog incidenta i katastrofalnog.

Mrežna segmentacija ograničava koliko daleko napadač može napredovati nakon što stekne početno uporište. Umjesto jedne ravne mreže u kojoj jedan kompromitirani vjerodajni podatak otvara pristup svemu, segmentirana okruženja prisiljavaju napadače da se bore za svaki dodatni pedalj, kupujući braniteljima vrijeme za otkrivanje i odgovor.

Kontrole pristupa s nultim povjerenjem pretpostavljaju da nijedan korisnik ili uređaj nije automatski pouzdan, čak ni unutar korporativnog perimetra. Svaki zahtjev za pristup se provjerava, što znatno otežava da sami ukradeni vjerodajni podaci otključaju kritične sustave.

Pouzdane, testirane i izvanmrežne sigurnosne kopije ostaju jedna od najučinkovitijih dostupnih obrana od ransomwarea. Šifrirane datoteke prestaju biti poluga kada organizacija može obnoviti operacije iz čistih sigurnosnih kopija bez pregovaranja s ikim. Ključna riječ je testirane: sigurnosne kopije koje nisu verificirane kroz stvarne vježbe obnove često zakažu upravo kad su najpotrebnije.

Višefaktorska autentifikacija, pravovremeno zakrpavanje sustava okrenutih internetu i kontinuirano praćenje neobičnog lateralnog kretanja zaokružuju osnovnu liniju koja razdvaja organizacije koje se brzo oporavljaju od onih koje na kraju dočekaju drugi zahtjev za iznuđivanje.

Što bi organizacije trebale učiniti umjesto plaćanja

Kada se ransomware incident dogodi, instinkt da se brzo plati i učini da problem nestane je razumljiv, osobito pod pritiskom kupaca, regulatora ili upravnog odbora koji zahtijeva brzo rješenje. No podaci o ponovnom iznuđivanju jasno pokazuju da plaćanje nije pouzdana izlazna strategija. Organizacijama je bolje da rano uključe provedbu zakona, angažiraju profesionalce za odgovor na incidente koji mogu procijeniti stvarni opseg izloženosti podataka i budu transparentne prema pogođenim dionicima umjesto da pretpostave da će tiho plaćanje učiniti da problem nestane.

Što to znači za vas

Bez obzira vodite li IT za malu tvrtku ili nadzirete sigurnosnu politiku u većoj organizaciji, ovi podaci su jasan signal za preraspodjelu prioriteta. Novac namijenjen fondovima za nepredviđene otkupnine daleko je bolje potrošiti na projekte segmentacije, uvođenje nultog povjerenja i infrastrukturu sigurnosnih kopija koja se redovito testira. Police kibernetičkog osiguranja i ugovori o zadržavanju usluga odgovora na incidente također bi trebali biti pregledani kako bi se osiguralo da naglašavaju prevenciju i sposobnost oporavka, a ne samo pokrivanje isplate.

Za pojedince, poruka je slična u manjem opsegu: snažne, jedinstvene lozinke, višefaktorska autentifikacija i redovite sigurnosne kopije osobnih i obiteljskih uređaja smanjuju šansu da pojedinačna ransomware infekcija postane ponavljajuća noćna mora.

Praktični zaključci

  • Tretirajte plaćanje otkupnine kao posljednje sredstvo, a ne kao prvi plan odgovora; podaci pokazuju da ono često ne uspijeva okončati prijetnju.
  • Uložite u mrežnu segmentaciju kako jedan kompromitirani račun ne bi mogao izložiti cijelo okruženje.
  • Usvojite načela nultog povjerenja za unutarnji i udaljeni pristup, provjeravajući svaki zahtjev umjesto da vjerujete samoj mrežnoj lokaciji.
  • Održavajte izvanmrežne, redovito testirane sigurnosne kopije kako oporavak ne bi ovisio o pregovaranju s kriminalcima.
  • Izgradite plan odgovora na incidente sada, prije nego što se napad dogodi, kako se odluke ne bi donosile pod panikom i pritiskom.

Porast ponovnog ransomware iznuđivanja snažan je argument za preusmjeravanje resursa s reaktivnog pregovaranja na proaktivnu obranu. Organizacije koje naprave taj zaokret sada bit će u daleko boljoj poziciji od onih koje se još uvijek nadaju da će jedna isplata učiniti da problem nestane.