Pravi izvor zarade ransomwarea nije enkripcija

Godinama se obrana od ransomwarea fokusirala na jedan trenutak: onaj kada se datoteke zaključaju. No nova saznanja koja donosi The National CIO Review jasno pokazuju da je enkripcija često najmanje vrijedan dio napada ransomwareom za kriminalce koji stoje iza njega. Prava zarada dolazi od krađe podataka, a ta zarada ne prestaje kada se otkupnina plati ili se sustavi obnove.

Prema izvještaju, 54 % pogođenih organizacija platilo je traženu otkupninu. To samo po sebi ne iznenađuje s obzirom na to koliko poremećaja mogu izazvati enkriptirani sustavi. Ono što se ističe jest ono što se dogodilo nakon toga: 37 % tih organizacija koje su platile kasnije je primilo novi zahtjev od istog ili drugog napadača. Drugim riječima, više od trećine žrtava koje su mislile da su zatvorile incident našle su se na početku, ponovno pregovarajući o istim ukradenim podacima.

Zašto ukradeni podaci i dalje donose zaradu napadačima

Nakon što napadači izvuku podatke prije nego što aktiviraju enkripciju, dobivaju višestruke, odvojene izvore prihoda koji ne ovise o tome da sustavi žrtve ostanu zaključani. Izvještaj navodi nekoliko njih:

  • Prijetnje javnim objavljivanjem: Napadači prijete objavom osjetljivih datoteka ako se ne izvrši druga uplata, čak i nakon što je plaćena prva otkupnina za ključeve za dešifriranje.
  • Preprodaja ukradenih podataka: Informacije se prodaju na kriminalnim tržištima drugim akterima prijetnji, neovisno o tome je li prvobitna žrtva išta platila.
  • Zloupotreba vjerodajnica: Korisnička imena, lozinke i pristupni tokeni pronađeni u ukradenim datotekama ponovno se koriste za kompromitiranje drugih računa ili sustava, ponekad u partnerskim organizacijama ili kod dobavljača.
  • Naknadni napadi: Pojedinosti prikupljene tijekom proboja, poput mrežnih dijagrama, ugovora s dobavljačima ili interne komunikacije, olakšavaju buduće upade i čine ih ciljanijima.

Zbog toga sigurnosni istraživači sve više opisuju suvremeni ransomware kao problem krađe podataka s pridruženom enkripcijom, a ne obrnuto. Enkripcija remeti poslovanje danima ili tjednima. Ukradeni podaci mogu se iskorištavati mjesecima ili godinama.

Nedavni primjer ove dinamike koji se odvijao u javnosti uključivao je curenje podataka iz Tata Electronicsa koje je otkrilo tajne iPhonea 18 Pro, gdje je ransomware grupa koja se naziva World Leaks objavila osjetljive informacije o neobjavljenim proizvodima nakon što je dobila pristup internim sustavima. Ovakvi slučajevi ilustriraju kako ukradeni korporativni podaci zadržavaju vrijednost za napadače dugo nakon prvotnog upada i kako same prijetnje objavom mogu natjerati organizacije na teške odluke čak i bez funkcionalnog enkripcijskog mehanizma.

Zašto plaćanje ne jamči kraj priče

Podatak o 37 % ponovljenih zahtjeva zaslužuje posebnu pozornost jer potkopava uobičajenu pretpostavku: da plaćanje otkupnine zatvara incident. U stvarnosti, nakon što podaci napuste mrežu organizacije, žrtva nema načina provjeriti jesu li kopije uništene, hoće li napadač preprodati informacije ili je li neka druga grupa već došla do istih datoteka. Plaćanje rješava problem enkripcije. Ne čini ništa u vezi s problemom krađe podataka, jer su ti podaci već izvan kontrole žrtve u trenutku kad su izvučeni.

To ima izravne implikacije na način na koji organizacije razmišljaju o spremnosti na ransomware. Planiranje sigurnosnog kopiranja i oporavka važno je za vraćanje sustava online, ali ne čini ništa kako bi se spriječilo curenje, preprodaja ili drugi pokušaj iznude. Sprječavanje izvlačenja podataka na prvom mjestu, putem segmentacije mreže, strogih kontrola pristupa i minimiziranja količine osjetljivih podataka koji se pohranjuju ili su dostupni, jednako je važno kao i planiranje oporavka.

Što to znači za vas

Bez obzira na to upravljate li IT-om za malu tvrtku ili jednostavno štitite vlastite račune, pouka iz ovih podataka je ista: pretpostavite da svaki proboj koji uključuje vaše informacije može rezultirati trajnom izloženošću, a ne jednokratnim incidentom. Ako tvrtka s kojom imate posla objavi napad ransomwareom, tretirajte to kao rizik bez definiranog kraja. Ponovno korištene lozinke, stare vjerodajnice računa i osobni podaci povezani s tim probojem mogu se ponovno pojaviti u pokušajima „credential stuffinga“ ili naknadnim prijevarama dugo nakon što naslovi izblijede.

Za organizacije je pouka da minimizaciju podataka i segmentaciju mreže tretiraju kao ključne obrane od ransomwarea, a ne kao naknadnu misao. Ograničavanje količine osjetljivih podataka dostupnih s bilo koje pojedinačne kompromitirane točke smanjuje količinu onoga što napadači mogu ukrasti čak i ako uđu.

Provedivi savjeti

  • Koristite jedinstvene lozinke za svaki račun i ažurirajte ih ako ste obaviješteni o proboju koji uključuje vaše podatke, čak i mjesecima kasnije.
  • Omogućite višefaktorsku autentifikaciju gdje god je to moguće kako biste umanjili vrijednost ukradenih vjerodajnica.
  • Ako vodite tvrtku, revidirajte koji se osjetljivi podaci pohranjuju i tko im može pristupiti; manje izloženih podataka znači manje alata za pritisak napadača.
  • Ne pretpostavljajte da je incident ransomwarea gotov nakon što se otkupnina plati ili se sustavi obnove. Pratite znakove curenja podataka ili ponovljenih pokušaja iznude.
  • Segmentirajte mreže tako da jedan kompromitirani uređaj ili račun ne mogu izložiti cijelo vaše podatkovno okruženje.

Najveća prednost ransomwarea nije enkripcija koja privlači naslovnice. To je krađa podataka koja se tiho događa prije i koja nastavlja stvarati vrijednost za napadače dugo nakon što se čini da je prvotna kriza riješena.