A zsarolóvírus-támadások már nem csak a nagyvállalatok problémáját jelentik, amelyek mély zsebbel és dedikált biztonsági csapatokkal rendelkeznek. Michael Sjøberg és Peter Skovbo, a Delta Crisis munkatársai szerint a közepes méretű vállalkozások, amelyek számos nemzeti gazdaság gerincét adják, egyre gyakrabban találják magukat megbénítva olyan támadók által, akik kritikus rendszereket titkosítanak, és fizetséget követelnek a hozzáférés helyreállításáért. A Handelsblatten keresztül publikált útmutatójuk ritka bepillantást enged abba, hogyan tárgyalnak valójában a cégek a kiberzsarolókkal, és milyen lépések csökkenthetik a károkat még a támadás bekövetkezése előtt.
Miért a közepes méretű cégek az új célpontok
Évekig a zsarolóvírusokkal kapcsolatos hírek a kórházakra, kormányzati szervekre és multinacionális vállalatokra összpontosítottak. Ez a kép változóban van. A támadók rájöttek, hogy a kisebb és közepes méretű cégek gyakran nem rendelkeznek a nagyobb vállalatok többrétegű védelmével, mégis értékes adatokkal rendelkeznek, és nem engedhetik meg maguknak a hosszan tartó leállást. Ez az eltolódás egy tágabb tendenciát tükröz, amelyet máshol is dokumentáltak a zsarolóvírus-ökoszisztémában, ahol egyes csoportok az úgynevezett kis- és középvállalkozási hálózatok területi elnyomása felé mozdultak el, ahelyett, hogy gondosan egyetlen nagy értékű áldozatot választanának ki, hanem kisebb szervezetek egész klasztereit célozzák meg. A logika egyszerű: a mennyiség felváltja a precizitást, és még a szerény váltságdíjak is összeadódnak, ha több tucat áldozaton keresztül megszorozzák őket.
A Delta Crisis tapasztalatai szerint ha egy támadás bekövetkezik, a különbség aközött, hogy egy cég korlátozott károkkal épül fel, vagy tartós kárt szenved, gyakran az előkészítettségen és azon múlik, hogyan kezelik magát a tárgyalást az első órákban és napokban.
Egy zsarolóvírus-tárgyalás kulisszái mögött
Sjøberg és Skovbo szerint a kiberbűnözőkkel való tárgyalás nem csupán arról szól, hogy eldöntsük, fizetünk-e. Megköveteli a támadó üzleti modelljének megértését, annak ellenőrzését, hogy milyen adatokat loptak el vagy titkosítottak valójában, valamint a kommunikáció olyan módon történő kezelését, amely sem nem provokálja a csoportot az adatok megsemmisítésére, sem nem jelez kétségbeesést, ami felhajthatná a követelést. Ez kényes munka, és egyre inkább professzionális szolgáltatóiparra hasonlít az asztal mindkét oldalán. Ez a professzionalizálódás a zsarolóvírus-táj teljes egészében látható. A csoportok strukturált, zsarolóvírus-mint-szolgáltatás modelleket alkalmaztak, ami szintén megfigyelhető a Gunra zsarolóvírus RaaS-műveletté bővülésére vonatkozó figyelmeztetésekben, ahol az affiláltok egy központi csoport által épített eszközökkel hajtanak végre támadásokat a bevételek egy részéért cserébe. Az eredmény egy skálázhatóbb, megismételhetőbb zsarolási folyamat, ami pontosan mutatja, miért számít annyira a tárgyalási stratégia az áldozat számára.
A támadások belépési pontja is figyelmet érdemel. A támadók gyakran szociális manipuláció révén nyernek kezdeti hozzáférést, nem pedig homályos technikai hibák kihasználásával. Azok a kampányok, amelyek olyan eszközöket használnak vissza, mint a Microsoft Teams, hogy hamis IT-támogató személyzetnek adják ki magukat, megmutatják, hogy egyetlen meggyőző telefonhívás vagy chatüzenet is ajtót nyithat a teljes hálózati kompromittálódáshoz, jóval azelőtt, hogy bármilyen váltságdíj-üzenet megjelenne.
Az adatvédelem és adatszivárgás tétjei
A zsarolóvírus-tárgyalás nem csupán a titkosított fájlokhoz való hozzáférés helyreállításáról szól. A modern zsarolóvírus-csoportok jellemzően ellopják az adatokat a titkosítás előtt, majd azzal fenyegetőznek, hogy közzéteszik vagy eladják azokat, ha nem történik fizetés. Ez a kettős zsarolási modell jelentősen megnöveli a tétet az adatvédelem szempontjából. Ügyfél-nyilvántartások, alkalmazotti adatok és bizalmas üzleti információk kerülhetnek nyilvánosságra függetlenül attól, hogy egy cég fizet-e. A támadók egyre kifinomultabbak abban is, hogy elkerüljék a felderítést a behatolási fázis során, beleértve olyan technikákat, amelyek teljesen letiltják a biztonsági eszközöket, amint azt a GodDamn zsarolóvírusról szóló jelentések is mutatják, amely aláírt illesztőprogramot használ a vírusirtó szoftverek megölésére. Ez a fajta lopakodás azt jelenti, hogy egy adatszivárgás sokkal hosszabb ideig észrevétlen maradhat, így a támadóknak több idejük van érzékeny adatok kiszivárogtatására, mielőtt bárki rájönne, hogy valami nincs rendben.
Mit jelent ez Önnek
Ha Ön egy közepes méretű céget vezet vagy dolgozik ott, a Delta Crisis üzenete világos: a zsarolóvírus-készültség már nem opcionális, és jóval a támadás bekövetkezése előtt kezdődik. Az alapvető higiénia, az offline biztonsági mentések, a tesztelt incidenskezelési tervek és a szociális manipuláció elleni munkavállalói képzés továbbra is a legerősebb védelem. Ha mégis támadás történik, a fizetésről és a tárgyalás módjáról szóló döntést soha nem szabad elszigetelten vagy pánikban meghozni. A tapasztalt tárgyalópartnerek értik a támadó pszichológiáját, ellenőrzik az állításokat, mielőtt megbíznának bennük, és tudják, hogyan lehet időt nyerni anélkül, hogy eszkalálnák az ellopott adatokkal kapcsolatos fenyegetéseket.
Azoknak az egyéneknek, akiknek adatai egy vállalat rendszereiben lehetnek, ez azt is aláhúzza, miért tartoznak a szervezetek átláthatósággal az ügyfeleknek adatszivárgás esetén, mivel a zsarolóvírus-tárgyalások közvetlenül befolyásolják, hogy a személyes információk privátok maradnak-e vagy szivárognak.
Főbb tanulságok
Minden méretű vállalatnak úgy kell kezelnie a zsarolóvírust, mint egy "mikor", nem pedig "ha" forgatókönyvet. Építsen incidenskezelési tervet a támadás előtt, tartson fenn tesztelt offline biztonsági mentéseket, és határozza meg előre, ki fogja kezelni a kommunikációt, ha a zsarolók felveszik a kapcsolatot. Képezze a munkavállalókat a szociális manipulációs kísérletek felismerésére, különösen a mindennapi együttműködési eszközökön keresztüli személyazonosság-lopásra. Ha tárgyalás válik szükségessé, vonjon be tapasztalt szakembereket, ahelyett, hogy rögtönözne, mivel az, ahogyan egy cég reagál az első órákban, befolyásolhatja mind a pénzügyi kimenetelt, mind pedig azt, hogy mennyi személyes vagy vállalati adat kerül végül nyilvánosságra.
