Mit lop el valójában a dupla zsarolásos zsarolóvírus

Évekig a zsarolóvírus-támadások túlélésének standard tanácsa egyszerű volt: tarts megbízható biztonsági mentéseket, és visszaállíthatod a rendszereidet fizetés nélkül. Ez a tanács már nem elegendő. A modern zsarolóvírus-bandák már nem csak titkosítják az adataidat, hanem először ki is szivárogtatják (ellopják) azokat. Ezt nevezik dupla zsarolásnak, és ez alapvetően megváltoztatja a számítást az áldozatok és a védekezők számára egyaránt.

Így működik. Mielőtt a támadók valaha is elindítanák a titkosítást, amely kizárja Önt a fájljaiból, csendben lemásolják az érzékeny adatokat a hálózatáról: ügyfél-nyilvántartásokat, pénzügyi dokumentumokat, alkalmazotti információkat, szellemi tulajdont, bármit, amit találnak. Csak miután ezeket az adatokat kiszivattyúzták, kezdődik a látható támadás. Ez azt jelenti, hogy mire észreveszi a váltságdíj-üzeneteket vagy a zárolt fájlokat, a lopás már megtörtént. A biztonsági mentésből történő visszaállítás megoldja a titkosítási problémát, de semmit sem tesz annak megakadályozására, hogy a támadók az ellopott adatok kiszivárogtatásával vagy eladásával fenyegetőzzenek.

Ez a változás azért fontos, mert minden zsarolóvírus-incidenst potenciális adatvédelmi incidenssé változtat, függetlenül attól, hogy vannak-e érintetlen biztonsági mentései valahol. A dupla zsarolásos zsarolóvírus elleni védelemnek ezért jóval azelőtt kell kezdődnie, hogy egy támadó egyáltalán a titkosítási kulcsok közelébe kerülne.

Miért nem garantálja a váltságdíj kifizetése az adatai visszaszerzését

Érdemes megismételni minden szervezet számára, amely mérlegeli a lehetőségeit egy támadás során: nincs jogi szerződés, amely kötelezné a zsarolóvírus-bandát az ellopott adatok törlésére a fizetés után. Ezek bűnszervezetek, amelyek minden kötelező erejű megállapodáson kívül működnek. A fizetés nem kötelezi őket a fájlok másolatainak megsemmisítésére, és nem akadályozza meg őket abban, hogy az adatokat más bűnözőknek továbbértékesítsék, vagy később úgyis kiszivárogtassák.

A fizető vállalkozások eredményei sem megnyugtatóak. Még váltságdíj kifizetése után sincs garancia arra, hogy használható adatokat kapnak vissza, és arra sincs garancia, hogy ugyanazok az adatok nem bukkannak fel újra egy jövőbeli zsarolási kísérlet során. A támadóknak minden okuk megvan arra, hogy megtartsák a másolatokat nyomásként, mivel az az áldozat, aki egyszer fizetett a kellemetlenség vagy a szabályozói kitettség elkerülése érdekében, újra fizethet megújult nyomás alatt.

Ez a dinamika csak felerősödött, ahogy a zsarolási taktikák fejlődnek. Egyes bandák ma már automatizált eszközöket használnak a nyomásgyakorlási kampány felgyorsítására és személyre szabására az áldozatok ellen, ezt a trendet részletesen tárgyalja a hogyan használják a zsarolóvírus-bandák az AI-t az áldozatok erősebb nyomására. A tanulság következetes: a megelőzés és a lokalizáció sokkal fontosabb, mint reménykedni abban, hogy egy bűnszervezet betartja az illegális ügylet rá eső részét.

Hálózati szegmentáció és VPN-használat első védelmi vonalként

Mivel az adatlopás a látható támadás előtt történik, a leghatékonyabb védekezés az, amely korlátozza, hogy a betolakodó egyáltalán mit érhet el, nem pedig az, hogy mi történik a robbanás után.

A hálózati szegmentáció központi szerepet játszik ebben. Ha minden eszköz és szerver egyetlen lapos hálózaton van, egy támadó, aki egyetlen munkaállomást veszélyeztet, gyakran oldalirányban mozoghat, hogy elérje a fájlszervereket, biztonsági mentési rendszereket és az érzékeny adatokat tartalmazó adatbázisokat. A hálózat elkülönített zónákra szegmentálása, a pénzügyi rendszerek elkülönítése az általános alkalmazotti hozzáféréstől, a biztonsági mentési infrastruktúra elszigetelése a termelési rendszerektől, valamint a rendszergazdai hozzáférés korlátozása azt jelenti, hogy egyetlen feltört fiók vagy eszköz nem nyitja ki egyszerre az összes ajtót.

A biztonságos távoli hozzáférés ugyanolyan fontos. Az irodán kívülről csatlakozó alkalmazottak és vállalkozók gyakori belépési pontot jelentenek a támadók számára, különösen, ha a távoli hozzáférés kitett protokollokon vagy gyenge hitelesítésen alapul. Egy megfelelően konfigurált, erős hitelesítéssel ellátott VPN használata, ahelyett, hogy a távoli asztali vagy rendszergazdai portokat közvetlenül elérhetővé tenné az internetről, lezárja az egyik leggyakrabban kihasznált utat a hálózatba. Többtényezős hitelesítéssel és a legkisebb jogosultság elvével kombinálva (azaz a felhasználók és rendszerek csak a ténylegesen szükséges hozzáférést kapják) ezek az intézkedések csökkentik az adatmennyiséget, amelyet egyetlen incidens kitárhat.

Az adathigiénia kiegészíti ezt az első védelmi vonalat. Azok a szervezetek, amelyek nem tudják, milyen érzékeny adatokat tárolnak, hol élnek azok, vagy ki férhet hozzájuk, semmilyen módon nem tudják korlátozni, hogy egy támadó mit lophat el. Az érzékeny adatok rendszeres auditálása és minimalizálása, nyugalmi állapotban történő titkosítása, valamint a már nem szükséges adatok eltávolítása csökkenti a célpontot, még akkor is, ha a támadók bejutnak.

Incidenskezelési terv készítése, mielőtt támadás érné

Még az erős megelőző intézkedések is kudarcot vallhatnak egy elszánt támadóval szemben, ezért az incidenskezelési tervnek már a válság előtt léteznie kell, nem pedig alatta. Egy aktív támadás közepén, nyomás alatt és a támadó számlálója mellett összeállított terv sokkal valószínűbb, hogy költséges hibákhoz vezet.

Egy hatékony terv meghatározza, hogy kinek van döntési jogköre, beleértve azt is, hogy bevonják-e a bűnüldöző szerveket vagy külső incidenskezelő szakértőket, még mielőtt a helyzet eszkalálódna. Meghatározza, hogyan izolálják a rendszereket az oldalirányú mozgás megállítására a gyanús tevékenység észlelésének pillanatában, és kommunikációs protokollokat állít fel, hogy a jogi, technikai és vezetői csapatok ne dolgozzanak eltérő információk alapján. Ezenkívül figyelembe veszi a dupla zsarolás sajátosságait is: mivel az adatok már ellopottak lehetnek, még akkor is, ha a titkosítást korán észlelik, a tervnek tartalmaznia kell lépéseket annak felmérésére, hogy milyen adatok kerülhettek napvilágra, és az érintett felek értesítésére a törvényi előírásoknak megfelelően.

Mit jelent ez az Ön számára

A legtöbb szervezet számára a gyakorlati változás a következő: a zsarolóvírus-védelem többé nem kezelhető pusztán biztonsági mentési és helyreállítási problémaként. A dupla zsarolás azt jelenti, hogy a kár gyakran már azelőtt megtörténik, hogy Ön tudná, hogy támadás van folyamatban. Ezért a hozzáférés-vezérlés, a szegmentáció és a biztonságos távoli kapcsolatok ugyanolyan fontosak, mint a helyreállítási tervezés. Ha szervezete vagy személyes beállításai távoli hozzáférésre támaszkodnak érzékeny rendszerekhez, egy jó hírű, erős hitelesítésű VPN használata alapvető lépés, nem opcionális extra. A támadók egyre kifinomultabbak abban is, hogyan gyakorolnak nyomást az áldozatokra egy incidens után, amit érdemes a maga módján megérteni.

Gyakorlati tanulságok

  • Tételezze fel, hogy bármely zsarolóvírus-incidens adatvédelmi incidens is lehet, és ennek megfelelően tervezze meg a reagálást, nem csak a fájlok visszaállítása köré.
  • Szegmentálja a hálózatot, hogy egyetlen feltört eszköz vagy fiók ne érhessen el mindent, különösen a biztonsági mentési rendszereket.
  • Követeljen VPN-hozzáférést többtényezős hitelesítéssel minden távoli kapcsolathoz a belső rendszerekhez, és kerülje a távoli hozzáférési protokollok közvetlen internetes elérhetőségét.
  • Auditálja, milyen érzékeny adatokat tárol valójában és hol, és távolítsa el vagy titkosítsa azokat, amelyekre nincs szüksége.
  • Készítsen és gyakoroljon incidenskezelési tervet most, beleértve a döntési jogköröket és a kommunikációs lépéseket, hogy ne improvizáljon aktív támadás közben.
  • Ne kezelje a váltságdíj kifizetését megbízható helyreállítási útvonalként. Nincs szerződés, amely arra kényszerítené a támadókat, hogy töröljék az ellopott adatokat vagy működő visszafejtést adjanak, és a fizetés nem garantálja, hogy adatai nem bukkannak fel később.