A zsarolóvírus már nem csak a titkosításról szól

Évekig a zsarolóvírus elleni küzdelem fő tanácsa egyetlen dologra épült: készíts biztonsági mentést az adataidról, hogy soha ne kelljen váltságdíjat fizetned. Ez a tanács ma is fontos, de a KnowBe4 biztonságtudatossági képzésekkel foglalkozó cég nemrégiben készült elemzése szerint már nem adja vissza a modern zsarolóvírus-műveletek teljes képét.

A zsarolóvírus olyan üzletmenet-megzavarási modellekké fejlődött, amelyeket a KnowBe4 leírása szerint kevésbé a nyers erőszakos kártevők, és sokkal inkább az ellopott identitások és a social engineering épít. Ahelyett, hogy egyszerűen zárolnák a fájlokat és fizetséget követelnének a visszafejtési kulcsért, a támadók egyre inkább arra összpontosítanak, hogy legitim, ellopott hitelesítő adatokkal jussanak be egy szervezetbe, majd ezt a megbízható hozzáférést használják arra, hogy maximális működési kárt okozzanak, mielőtt bárki észrevenné.

Ez a változás legalább annyira fontos az adatvédelem szempontjából, mint az IT-biztonság szempontjából. Amikor a zsarolóvírus-csoportok identitásokat lopnak a behatoláshoz, az ezekhez az identitásokhoz kapcsolódó személyes adatok – a munkavállalói bejelentkezések, az ügyfélnyilvántartások, a belső kommunikáció – a támadási felület részévé válnak. Egy zsarolóvírus-incidens ma már ritkán pusztán titkosítási esemény; gyakran adat-expozíciós esemény is.

Miért az ellopott identitások jelentik az új belépési pontot

A zsarolóvírus-támadás hagyományos képe egy rosszindulatú e-mail-mellékletet vagy egy kiszolgáltatott, javítatlan szervert foglal magában. Ezek a vektorok nem tűntek el, de egyre inkább kiegészülnek, vagy éppen felváltják őket az egyszerűbb taktikák: hitelesítő adatok adathalászata, az ügyfélszolgálatok becsapása jelszó-visszaállításra, vagy a gyenge többtényezős hitelesítési beállítások kihasználása, hogy megbízható felhasználóként férjenek hozzá a rendszerhez.

Amint bent vannak, a támadóknak nem kell „feltörniük” semmit a hagyományos értelemben. Úgy jelentkeznek be, mint bármely más munkavállaló, csendesen mozognak a hálózaton, és azonosítják azokat a rendszereket és adatokat, amelyek megzavarása a legnagyobb fájdalmat – és ezáltal a legnagyobb nyomást – okozza a váltságdíj-követeléshez. Ezt érti a KnowBe4 azon, amikor a zsarolóvírust üzletmenet-megzavarási modellként írja le: a cél nem csupán az adatok titkosítása, hanem az, hogy a szervezet működése leálljon, amíg a fizetés meg nem történik.

Ez a megközelítés visszaköszön abból, amit a zsarolóvírus-szolgáltatás (ransomware-as-a-service) ökoszisztémájában szélesebb körben megfigyeltek. Az olyan csoportok, mint amilyenről a LockBit 5.0 és az Operation Cronos utáni élet című cikkünkben részletesen beszámoltunk, megmutatják, hogyan professzionalizálták a zsarolóvírus-affiliáltok a működésüket: minden egyes támadást kevésbé „törj-be és vidd el”, sokkal inkább kiszámított üzleti tárgyalásként kezelnek, nyomásgyakorló taktikákkal és hírnév-veszélyeztetéssel kiegészítve.

A zsarolóvírus-védelem újragondolása egy identitás-központú fenyegetés korában

Ha az identitáslopás és a social engineering ma már a zsarolóvírus elsődleges behatolási módja, akkor azok a védelmi rendszerek, amelyek kizárólag a hálózati peremvédelemre és a vírusirtó eszközökre épülnek, a tegnap problémáját kezelik. A KnowBe4 megközelítése arra utal, hogy a szervezeteknek az identitás-ellenőrzést és az emberi viselkedést a zsarolóvírus-védelem alapvető részévé kell tenniük, nem pedig utólagos gondolattá.

A gyakorlatban ez erősebb személyazonosság-ellenőrzési folyamatokat jelent a jelszó-visszaállítások és a fiók-helyreállítások esetében, adathalászatnak ellenálló többtényezős hitelesítést a könnyen megkerülhető SMS-kódok helyett, valamint folyamatos munkavállalói képzést, amely a social engineeringet aktív, fejlődő fenyegetésként kezeli, nem pedig egyszeri megfelelőségi gyakorlatként. A biztonsági mentések és a hálózati szegmentáció továbbra is elengedhetetlenek, de most már a második védelmi vonalat jelentik az első helyett.

A változás tétje a szakpolitikai szinten is figyelmet kap. Ahogy arról beszámoltunk, a kormányok zsarolóvírus-fizetési tilalmat fontolgatnak az AI-vezérelt támadások közepette, ami annak a jele, hogy a szabályozók felismerik: a jelenlegi védekezési modell – fizess, hogy a probléma eltűnjön – nem fenntartható, ahogy a támadások egyre gyorsabbak és meggyőzőbbek lesznek.

Mit jelent ez Önnek

Akár IT-döntéshozó, akár olyan valaki, akinek a munkáltatója személyes adatokat tárol Önről, a zsarolóvírus-taktika ezen fejlődésének valós következményei vannak. Ha a támadók identitáslopással jutnak be, nem pedig szoftverhibák kihasználásával, akkor az Ön saját bejelentkezési adatainak biztonsága, valamint az, hogy a szervezete milyen körültekintően ellenőrzi az identitást a hozzáférés megadása előtt, közvetlenül befolyásolja, mennyire sérülékeny az adott szervezet egy költséges megzavarásra.

Az egyének számára ez egy ismerős, de egyre sürgetőbb pontot erősít meg: az újrahasznált jelszavak, a gyenge többtényezős hitelesítés és a váratlan jelszó-visszaállítási kérésekre adott hanyag válaszok nem csupán személyes kockázatok – ezek potenciális belépési pontok olyan támadásokhoz, amelyek hatása több ezer ember adataira terjedhet ki. A vállalkozások számára ez azt jelenti, hogy a zsarolóvírus-védelmet identitás- és emberi viselkedési problémaként kell kezelni, nem csak technikaiként.

Gyakorlati tanácsok

  • Engedélyezze az adathalászatnak ellenálló többtényezős hitelesítést, ahol csak lehetséges, és ne hagyatkozzon kizárólag SMS-alapú kódokra.
  • Legyen bizalmatlan a váratlan jelszó-visszaállítási vagy fiók-ellenőrzési kérésekkel szemben, még akkor is, ha azok belső ügyfélszolgálattól érkeznek.
  • A szervezetek kövessék nyomon, hogyan működik az identitás-ellenőrzés a fiók-helyreállítás során, mivel ez egyre gyakoribb zsarolóvírus-belépési pont.
  • Kezelje a rendszeres biztonságtudatossági képzést folyamatos szükségletként, nem egyszeri pipa-kipipálásként, mivel a social engineering taktikái gyorsan fejlődnek.
  • Tartson offline, tesztelt biztonsági mentéseket második védelmi vonalként, annak tudatában, hogy az identitás-alapú behatolások megállítása ugyanolyan fontos, mint a titkosítás utáni helyreállítás.

A zsarolóvírus identitás-vezérelt üzletmenet-megzavarási modelljé történő fejlődése nem azt jelenti, hogy a küzdelem megnyerhetetlen. Azt jelenti, hogy a küzdelem más helyszínre költözött. Azoknak a védelmi rendszereknek, amelyek egykor szűken a kártevőkre és a biztonsági mentésekre összpontosítottak, most számolniuk kell azzal, milyen könnyen nyithat ajtót egy ellopott identitás egy egész hálózathoz – és ez azzal kezdődik, hogy az identitásbiztonságot a zsarolóvírus-védelem szerves részének tekintjük.