Ransomware cilja prema izgledima za plaćanje, a ne prema istaknutosti

Godinama je popularna slika žrtve ransomwarea bila poznato ime: bolnički sustav, velika zrakoplovna kompanija, globalni proizvođač. No nedavna analiza iznosi jednostavniju i korisniju poantu: ransomware cilja prema izgledima za plaćanje, a ne prema istaknutosti. Napadači, a posebno partneri koji provode većinu ransomware upada, ne jure za naslovnicama. Oni jure isplatu, i to mijenja toga će se naći na nišanu.

Ekonomija iza ovoga je jednostavna. Većina modernog ransomwarea funkcionira po modelu ransomware-as-a-service, gdje osnovna grupa razvija malware i infrastrukturu, dok neovisni partneri obavljaju stvarne upade. Ti partneri zarađuju proviziju samo kada žrtva plati. Ta jedna činjenica reorganizira cijeli proces odabira meta. Umjesto da pitaju "tko bi izazvao najveću pompu", partneri pitaju "tko će najvjerojatnije platiti i koliko brzo".

Zašto vjerojatnost plaćanja pobjeđuje prepoznatljivost brenda

Kada je plaćanje jedini izvor prihoda, istaknutost postaje nevažna osim ako je povezana sa spremnošću ili sposobnošću plaćanja. Poznati brend s jakim sigurnosnim kopijama, učvršćenim planom odgovora na incidente i javnom predanošću da nikada ne pregovara s napadačima zapravo je loša meta, čak i ako bi njegovo probijanje izazvalo više medijske pažnje. U međuvremenu, srednje velika tvrtka sa slabijom obranom, pokrivenošću cyber osiguranjem i poslovnim modelom koji ne može tolerirati zastoj postaje daleko privlačnija.

Signali koji povećavaju percipirane izglede žrtve za plaćanje uključuju dokaze o dostupnim sredstvima, jasan interni proces za brzo odobravanje velikih plaćanja, ovisnost o kontinuiranom poslovanju i povijest (javnu ili pretpostavljenu) prethodnih plaćanja otkupnine. Organizacije koje su javno odbile platiti šalju suprotan signal. Stadler Rail, na primjer, odbio je zahtjev za otkupninu od 12,3 milijuna dolara od ekstorzijske bande Everest nakon što su napadači ukrali tehničke podatke putem dobavljača, odluka koja smanjuje poticaj toj istoj grupi da u budućnosti daje prioritet sličnim metama. Vlada Berlina zauzela je sličan stav, potvrdivši da neće platiti hakerima unatoč aktivnom pokušaju iznude nakon upada u mrežu. Svako javno odbijanje umanjuje kalkulaciju izgleda za plaćanje koja pokreće odlučivanje partnera.

Aspekt privatnosti: Krađa podataka ne čeka odluku

Ova logika odabira meta ima izravnu posljedicu za privatnost koja se često izgubi u raspravama o plaćanju otkupnine. Davno prije nego što žrtva odluči hoće li platiti, napadači su obično već eksfiltrirali podatke. Moderne ransomware operacije sve se više oslanjaju na dvostruku iznudu, šifrirajući sustave dok istovremeno kradu osjetljive datoteke kako bi ih koristile kao dodatnu polugu. To znači da osobni podaci, financijski zapisi i interna komunikacija mogu biti izloženi ili prodani neovisno o ishodu otkupnine.

Napad grupe ShinyHunters na kolumbijsku tvrtku za financijske usluge Addi.com jasno ilustrira ovaj rizik. Grupa je preuzela odgovornost za krađu 16 milijuna financijskih zapisa, razmjer izloženosti koji nema nikakve veze s tim je li Addi.com bila poznata ili politički značajna meta. To odražava istu temeljnu logiku: tvrtka za financijske usluge koja drži velike količine osjetljivih podataka predstavlja visokovrijednu priliku za iznudu, neovisno o prepoznatljivosti brenda. Za svakodnevne korisnike to znači da vaši podaci mogu završiti ugroženi jednostavno zato što je organizacija koja ih drži izgledala kao dobra oklada partneru, a ne zato što je bila meta koju bi itko očekivao.

Što to znači za vas

Ako je odabir meta vođen izgledima za plaćanje, a ne istaknutošću, praktični zaključak je da nijedna organizacija, bez obzira na veličinu ili vidljivost, ne može pretpostaviti da je "premala da bi bila važna" ransomware operaterima. Manje tvrtke, pružatelji zdravstvenih usluga, financijske platforme i lokalne vladine agencije često su privlačne upravo zato što mogu imati manje zrelu obranu i veći operativni pritisak da brzo obnove pristup.

Za pojedince, to pojačava poznatu, ali važnu stvarnost: sigurnost vaših osobnih podataka uvelike ovisi o sigurnosnom položaju svake organizacije koja ih drži, ne samo onih poznatih. Financijske institucije, manji pružatelji usluga i dobavljači u lancu opskrbe sve su moguće ulazne točke, kao što pokazuje incident sa Stadler Railom.

Primjenjivi zaključci

Organizacije bi trebale tretirati integritet sigurnosnih kopija, planiranje odgovora na incidente i javnu komunikaciju o politici otkupnine kao alate koji izravno smanjuju njihovu privlačnost partnerima koji traže lake isplate. Pojedinci bi trebali pretpostaviti da svaka usluga koja drži osjetljive osobne ili financijske podatke može biti meta, te bi trebali koristiti jake, jedinstvene lozinke, omogućiti višefaktorsku autentifikaciju gdje god je to moguće i pratiti račune na neuobičajene aktivnosti nakon bilo kakve obavijesti o povredi podataka. Budući da ransomware cilja prema izgledima za plaćanje, a ne prema istaknutosti, oprez s manjim, manje poznatim pružateljima usluga jednako je važan kao i praćenje vijesti o napadima na velike brendove. Svijest o tome kako se te odluke donose jedan je od najjednostavnijih načina da ostanete ispred rizika.