A váltságdíj kifizetése egy zsarolóvírusos banda számára soha nem jelentett garanciát a biztonságra, de egy új kutatás most kemény számokkal mutatja meg, milyen gyakran bukik el ez a szerencsejáték. A legfrissebb eredmények szerint az Egyesült Királyságban a zsarolóvírus-támadással sújtott szervezetek 58%-a kifizette a követelt váltságdíjat, és ezen fizetők 22%-át ismételten második zsarolási kísérlettel vették célba. Az üzenet az informatikai csapatok, és mindazok számára, akiknek személyes adatai vállalati hálózatokon haladnak át, az, hogy a régi „fizess és lépj tovább” forgatókönyv már nem tartható.

Az új valóság: a fizetés nem vet véget a támadásnak

A zsarolóvírusok korábban egy meglehetősen kiszámítható forgatókönyvet követtek: a támadók titkosítják a fájljaidat, te fizetsz, kapsz egy visszafejtő kulcsot, és az incidens lezárul. Ezt a forgatókönyvet átírták. A kettős zsarolás felé történő elmozdulás, ahol a támadók a titkosítás előtt adatokat lopnak, és azzal fenyegetőznek, hogy azokat a fizetéstől függetlenül kiszivárogtatják, azt jelenti, hogy egy váltságdíj-tranzakció semmit sem rendez. A már fizetett szervezetek elleni ismételt zsarolást mutató 22%-os arány megerősíti azt, amire sok biztonsági kutató évek óta figyelmeztet: ha egyszer az adataid kikerültek, nincs valódi ellenőrzésed afölött, hogy mi történik velük ezután. Egy bűnözői csoport, amely egyszer már kapott fizetséget, minden ösztönzést megkap arra, hogy visszatérjen, legyen szó ugyanarról a szereplőről vagy egy másikról, aki továbbértékesített hozzáféréssel dolgozik.

A Windows-rendszergazdák számára ez kifejezetten megváltoztatja az incidenskezeléssel kapcsolatos számításokat. A biztonsági mentésből való visszaállítást korábban a fizetés alternatívájaként kezelték. Most ezt kell alapelvárásként kezelni, mert a fizetés nem állítja meg megbízhatóan a vérzést az adatlopási oldalon. A tesztelt, offline biztonsági mentések, az erős identitásbiztonsági kontrollok és egy dokumentált helyreállítási terv azok, amelyek valóban megtörik a ciklust, nem pedig egy átutalás egy anonim pénztárcába.

A mesterséges intelligencia felturbózza a kezdeti kompromittálódást

A kutatás másik fő témája a mesterséges intelligencia növekvő szerepe a támadás korai szakaszaiban. A kezdeti kompromittálódás, az a pillanat, amikor a támadók először megvetik a lábukat egy hálózatban, az a terület, ahol a mesterséges intelligencia eszközök állítólag a legnagyobb hatást gyakorolják. A gyorsabb felderítés, a meggyőzőbb adathalász csalik és a kihasználható gyengeségek gyorsabb azonosítása mind szűkítik azt az időablakot, amely alatt a védők észrevehetik, hogy valami nincs rendben, mielőtt a kár bekövetkezik.

Ez azért fontos, mert a legtöbb zsarolóvírus elleni védekezés még mindig arra a feltételezésre épül, hogy a támadóknak időre van szükségük a hálózaton belüli mozgáshoz, mielőtt komoly kárt okoznának. Ha a mesterséges intelligencia összenyomja ezt az idővonalat, a kizárólag az időszakos javítási ciklusokra és a manuális megfigyelésre támaszkodó szervezetek egyre inkább kitettek a veszélynek. Ez megerősíti, hogy az identitásbiztonság, vagyis az olyan dolgok, mint a többtényezős hitelesítés, a privilegizált hozzáférés-kezelés és a gyors rendellenesség-észlelés, miért vált legalább olyan fontossá, mint a végpontvédelem.

Miért az adatlopás az igazi adatvédelmi történet?

Míg a titkosított fájlok kapják a legtöbb figyelmet, a kettős zsarolási modell reflektorfénybe állít valamit, ami a hétköznapi emberek számára fontosabb: magukat az adatokat. Minden olyan zsarolóvírus-incidens, amely lopott HR-nyilvántartásokat, ügyféladatbázisokat vagy munkavállalói fájlokat érint, lényegét tekintve adatvédelmi incidens. Gondoljunk csak arra, hogy a Dél-afrikai Statisztikai Hivatal HR-rendszerének megsértése hogyan tette ki a munkavállalói adatokat – egy olyan eset, amely jól szemlélteti, hogy az érzékeny személyes információkat tároló belső rendszerek hogyan válhatnak a tényleges célponttá, nem csupán egy szélesebb körű támadás járulékos kárává. Amikor a zsarolóvírus-csoportok ilyen típusú adatokat szivárogtatnak ki a rendszerek lezárása előtt, a váltságdíj kifizetése semmit sem tesz annak a ténynek a visszavonására, hogy a nevek, fizetések, címek vagy egészségügyi adatok már egy bűnözői szerveren lehetnek, vagy már eladásra kínálják őket.

Ez az a részlet, ami gyakran hiányzik a tisztán technikai zsarolóvírus-tudósításokból: a második zsarolási kísérlet nem csupán vállalati fejfájás, hanem egy második kitettségi hullám azon személyek számára, akiknek az adatait első körben ellopták. A munkavállalóknak, ügyfeleknek és pácienseknek ritkán van beleszólásuk abba, hogy a szervezetük fizet-e, mégis ők viselik a személyazonosság-lopás, célzott adathalászat vagy csalás folyamatos kockázatát jóval azután, hogy a hírek elhalványulnak.

Mit jelent ez Ön számára?

Ha Ön az informatika vagy a biztonság területén dolgozik, ezek az adatok egyértelmű jelzés arra, hogy ne kezelje többé a váltságdíjfizetést megoldásként, hanem kezdje el legrosszabb esetre szóló tartalékként kezelni. A helyreállítási tervek, a megváltoztathatatlan biztonsági mentések és az identitásközpontú védekezés több költségvetést és tesztelési időt érdemelnek, mint amennyit általában kapnak. Ha Ön egy olyan szervezet munkavállalója vagy ügyfele, amely zsarolóvírus-incidenst hozott nyilvánosságra, feltételezze, hogy az adatait lemásolhatták, még akkor is, ha azt mondják Önnek, hogy a rendszereket „helyreállították". Figyelje a fiókjait, ügyeljen az incidensre hivatkozó adathalász kísérletekre, és fontolja meg a hitelmegfigyelést, ha érzékeny személyes vagy pénzügyi adatok voltak érintettek.

Megvalósítható tanulságok

A szervezeteknek rendszeresen ellenőrizniük kell a biztonsági mentések integritását, és meg kell győződniük arról, hogy a mentések valóban el vannak szigetelve a termelési hálózattól. A többtényezős hitelesítésnek és a legkisebb jogosultsági hozzáférésnek nem alku tárgyát képező alapelvnek kell lennie minden rendszerben, nem csak a kritikusakban. Az incidenskezelési terveknek kifejezetten foglalkozniuk kell a kettős zsarolási forgatókönyvvel, beleértve a jogi és kommunikációs lépéseket arra az esetre, ha a lopott adatok nyilvánosságra kerülnek. A zsarolóvírus-bejelentések által érintett személyeknek meg kell változtatniuk jelszavaikat, engedélyezniük kell a többtényezős hitelesítést, ahol elérhető, és ébernek kell maradniuk a későbbi átverésekkel szemben. Az adatok egyértelműek: a zsarolóvírusok második zsarolása már nem egy ritka szélsőséges eset, hanem a támadási életciklus standard részévé válik, és a felkészülés az egyetlen valódi védekezés.