Új adatok igazolják, hogy a zsarolóvírus-váltságdíj nem vásárol tartós biztonságot
A The Register által kiemelt és az SC Media egy rövid anyagában ismertetett friss jelentés tovább erősíti a növekvő bizonyítékhalmazt, miszerint a zsarolóvírus-váltságdíj kifizetése nem nyújt megbízható védelmet a későbbi támadásokkal szemben. Azokat a szervezeteket, amelyek azért fizetnek, hogy visszakapják adataikat vagy leállítsák a zsarolást, gyakran újra célba veszik – hol ugyanaz a bűnözői csoport, hol pedig egy teljesen másik, amely megtudta, hogy az áldozat hajlandó fizetni. Ez a mintázat akkor is megfigyelhető, amikor az összehangolt bűnüldözési erőfeszítések, például a Cronos művelet, nagyszabású zsarolóvírus-műveletek belső felszámolásán dolgoznak.
A tanulság egyértelmű, ám sok szervezet számára kényelmetlen: a zsarolóvírus-váltságdíj és az ismételt támadások között szoros az összefüggés, de nem azért, mert a fizetés biztonságot garantál, hanem mert gyakran azt jelzi a támadóknak, hogy a célpont jövedelmező és felkészületlen.
Miért kelt hamis biztonságérzetet a fizetés
Amikor egy vállalkozás kizárja saját rendszereiből, vagy nyilvános adatszivárogtatással fenyegetik, a váltságdíj kifizetése tűnhet a leggyorsabb útnak a normál működéshez való visszatéréshez. Az új adatok azonban azt erősítik meg, amit a biztonsági kutatók már évek óta hangoztatnak: a fizetés tranzakció, nem garancia. A zsarolóvírus-bandák bűnözői vállalkozások, és nincs kikényszeríthető megállapodás arra, hogy az adatokat törlik, a visszafejtő kulcsok valóban működni fognak, vagy ugyanazokat a sebezhetőségeket nem használják ki újra.
A fizető szervezetek gyakran azért teszik ezt, mert nem rendelkeznek megfelelő biztonsági mentésekkel, incidenskezelési tervekkel vagy azzal a belső szakértelemmel, hogy gyorsan újjáépítsék a rendszereiket. Ezek az alapvető gyengeségek általában a váltságdíj kifizetése után is fennmaradnak, vagyis az ajtó, amelyen a támadók először bejutottak, sokszor továbbra is nyitva áll. A fizetés az azonnali válságot kezeli, nem a kiváltó okot.
Pontosan ez az oka annak, hogy egy Proofpoint felmérés szerint a zsarolóvírus-bandáknak való fizetés visszafelé sül el – sokkal gyakrabban, mint azt az áldozatok várnák. A felmérés konkrét számokkal támasztotta alá a figyelmeztetést, bemutatva, hogy a fizető szervezetek jelentős része továbbra is tapasztalt adatvesztést, további zsarolási kísérleteket vagy ismételt adatvédelmi incidenseket.
Hogyan azonosítják és veszik célba újra a zsarolóvírus-bandák a korábbi fizetőket
A zsarolóvírus-műveletek egyre inkább vállalkozásszerűen működnek, teljes partnerhálózattal, ügyfélszolgálattal az áldozatok számára, valamint megosztott információkkal arról, hogy mely célpontokat érdemes megtámadni. Amint egy szervezet fizet, ez az információ terjedhet a bűnözői csoportok között, akár közvetlen adatmegosztás, akár a hálózati hozzáférés eladása, akár egyszerűen a földalatti fórumokon kialakult hírnév révén.
Az az áldozat, aki gyorsan és jelentősebb ellenállás nélkül fizet, ismert mennyiséggé válik: puha célponttá, amely bizonyítottan hajlandó pénzt átadni. Még ha a bűnüldöző szervek akciói – például a Cronos művelet – sikeresen meg is zavarják egy adott zsarolóvírus infrastruktúrát, az alapul szolgáló hozzáférés-értékesítő ökoszisztéma, a lopott hitelesítő adatok és a javítatlan sebezhetőségek, amelyek az eredeti behatoláshoz vezettek, gyakran továbbra is elérhetők más fenyegető szereplők számára. Egy banda működésének megzavarása nem feltétlenül védi meg a korábbi áldozatot attól, hogy egy másik szereplő ugyanazokat a gyengeségeket kihasználja.
Gyakorlati védekezés: biztonsági mentések, hálózatszegmentálás és VPN-megerősítés
Az adatokból levonható legtisztább tanulság az, hogy a megelőzés és az ellenálló képesség fontosabb a tárgyalásnál. Néhány gyakorlati lépés mérhető különbséget jelent:
- Tároljon offline, tesztelt biztonsági mentéseket. A fő hálózatról leválasztott és a visszaállítás szempontjából rendszeresen tesztelt biztonsági mentések a leghatékonyabb módjai annak, hogy egyáltalán ne kelljen fizetni.
- Szegmentálja a hálózatokat. Annak korlátozása, hogy egy támadó milyen messzire juthat el a belső rendszerekben, csökkenti bármely kompromittált fiók vagy eszköz káros hatásának körét.
- Erősítse meg a távoli hozzáférést. A VPN-ek és a távoli asztali eszközök a zsarolóvírusok gyakori belépési pontjai. A többtényezős hitelesítés kikényszerítése, a VPN-szoftverek azonnali javítása és a nem használt távoli hozzáférési pontok lezárása eltávolítja a támadók könnyű megvetési lehetőségét.
- Készítsen incidenskezelési tervet még a támadás előtt. Ha tudja, kit kell hívni, hogyan kell elkülöníteni az érintett rendszereket, és hogyan kell kommunikálni az érintettekkel, az csökkenti a nyomást, hogy csak azért fizessen, hogy a probléma gyorsan eltűnjön.
Mit jelent ez Önnek
Akár egy kisvállalkozás informatika rendszergazdája, akár egyszerűen csak a saját eszközeit kezeli, az adatok üzenete ugyanaz: ne feltételezze, hogy a fizetés biztonsági háló. Ha szervezetét valaha zsarolóvírus-támadás éri, kezelje az incidenst annak jeleként, hogy biztonsági hiányosságok állnak fenn, ne pedig megoldandó és elfelejtendő tárgyalásként. Azok a szervezetek vannak a legjobb helyzetben ahhoz, hogy gyorsan helyreálljanak, és elkerüljék, hogy ismét áldozattá váljanak, amelyek már a támadás előtt befektettek a biztonsági mentésekbe, a hálózatfigyelésbe és a hozzáférés-szabályozásba, ahelyett hogy utólag kapkodnának.
Főbb tanulságok
- Az új adatok azt mutatják, hogy a zsarolóvírus-váltságdíj és az ismételt támadások gyakran kéz a kézben járnak, aláásva azt a feltételezést, hogy a fizetés megoldja a fenyegetést.
- Az egyes bandák elleni bűnüldözési fellépések nem szüntetik meg a sebezhetőségek szélesebb ökoszisztémáját, amely az eredeti támadáshoz vezetett.
- Az offline biztonsági mentések, a hálózatszegmentálás és a megerősített távoli hozzáférés megbízhatóbb védekezést jelentenek, mint bármilyen váltságdíj-tárgyalás.
- A szervezeteknek most kell incidenskezelési terveket készíteniük, nem pedig egy aktív támadás során eldönteni, hogyan reagáljanak.
A zsarolóvírusok nem fognak eltűnni, de a fizetés döntését nem szabad gyors megoldásként kezelni. A megelőzés, a rugalmas biztonsági mentések és a biztonságos távoli hozzáférés előtérbe helyezése továbbra is a leghatékonyabb módja annak, hogy adatait – és szervezetét – távol tartsa a támadók célkeresztjétől.
