Azok a zsarolóprogram-áldozatok, akik fizetnének abban a reményben, hogy a problémának vége szakad, gyakran csalódnak. Egy újonnan közzétett globális tanulmány, az AI-Era Ransomware Report, csaknem 1000 biztonsági szakembert kérdezett meg 12 piacon, és megállapította, hogy a váltságdíj fizetése korántsem garantált megoldás. Az eredmények újabb súlyt adnak annak a figyelmeztetésnek, amelyet a biztonsági kutatók már évek óta ismételgetnek: a zsarolóprogramokkal kapcsolatos ismételt zsarolási fizetések valós és növekvő kockázatot jelentenek, nem pedig ritka szélsőséges esetet.

Mit talált az AI-Era Ransomware Report

A felmérés lesújtó képet fest arról, hogyan reagálnak a szervezetek, ha zsarolóprogram-támadás éri őket. A támadást elszenvedő szervezetek több mint fele, 54% végül váltságdíjat fizetett, hogy visszaszerezze érzékeny adatait. A fizetők közül 56%-nak valóban sikerült visszaszereznie hozzáférését a fájljaihoz vagy rendszereihez. De a még aggasztóbb szám az, ami ezután történt: az áldozatok több mint egyharmada, 37% második zsarolási követelést kapott, miután már kifizette az elsőt.

Ez a statisztika önmagában is át kell hogy formálja a szervezetek gondolkodását a zsarolóprogramokra adott válaszokról. A fizetés nem egy egyszeri tranzakció, amely lezárja az incidenst. A tanulmányban szereplő áldozatok több mint egyharmada számára ez egyszerűen csak a nyitó lépés volt egy hosszabb, költségesebb ciklusban.

Miért nem garantálja a fizetés a biztonságot vagy az adathelyreállítást

Érdemes elidőzni a számoknál. Még a fizető szervezetek között is csaknem fele nem kapta vissza teljesen az adatait. És azoknak is jelentős része, akik visszakapták a fájljaikat, újra célponttá vált – akár ugyanaz a támadó követelt több pénzt, akár egy másik csoport, amely a fizetést annak bizonyítékaként látta, hogy az áldozat hajlandó tárgyalni.

Ez a minta összhangban van más friss kutatásokkal. Egy Proofpoint-felmérés, amelyről a vpn.social is beszámolt hasonlóan azt találta, hogy a zsarolóbandáknak fizető vállalkozások gyakran pórul járnak, és a fizető áldozatok jelentős részét újabb zsarolási kísérletek érik. Ha egy szervezet fizet, felkerülhet a megerősített fizetők listájára, amely információ bűnözői csoportok között terjed, és ez vonzóbb célponttá teszi a szervezetet a jövőbeli támadások számára – nem pedig kevésbé vonzóvá.

Ráadásul a zsarolóprogramos tárgyalásokban nincs kikényszeríthető szerződés. A támadóknak nincs sem jogi, sem hírnévbeli érdekük abban, hogy tartsák magukat az üzlet feltételeihez, miután a pénz megérkezett. A visszafejtési kulcsok hiányosak, hibásak lehetnek, vagy egyszerűen soha nem kerülnek átadásra. Az ellopott és nyomásgyakorlásra használt adatok így is eladhatók, kiszivárogtathatók, vagy egy második zsarolási körhöz használhatók fel, függetlenül attól, hogy mit ígértek.

A megelőzés alternatívái: biztonsági mentések, titkosítás és hálózati szegmentálás

Ezekkel az esélyekkel szemben a reziliensebb stratégia az, ha csökkentjük annak az esélyét, hogy valaha is döntenünk kelljen a fizetésről. Néhány gyakorlat következetesen hatékony védekezésként jelenik meg:

  • Offline, tesztelt biztonsági mentések fenntartása. A fő hálózatról leválasztott és rendszeresen helyreállításra tesztelt biztonsági mentések azt jelentik, hogy a szervezet támadóval való tárgyalás nélkül is helyre tud állni.
  • Érzékeny adatok titkosítása tárolás és továbbítás közben. Még ha a támadók ki is másolják a fájlokat, az erős titkosítás korlátozza, hogy mit tudnak valójában használni vagy eladni, csökkentve az adatszivárgási fenyegetés mögötti nyomásgyakorlási erőt.
  • Hálózati szegmentálás. A rendszerek elszigetelt zónákra osztása korlátozza, hogy milyen messzire terjedhet a zsarolóprogram, ha kezdeti támaszpontot szerzett, ezzel a kár a szervezet kisebb részére korlátozódik.
  • Következetes frissítés és monitorozás. Sok zsarolóprogramos behatolás még mindig ismert, javítatlan sérülékenységeket vagy gyenge távoli hozzáférési hitelesítő adatokat használ ki, így az alapvető higiénia a belépési pontok jelentős részét lezárja.

Ezek az intézkedések egyike sem teszi a szervezetet immunissá a támadásokkal szemben, de együttesen csökkentik mind a sikeres betörés valószínűségét, mind pedig a fizetésre irányuló nyomást, ha mégis bekövetkezik egy incidens.

Incidenskezelési terv felépítése a támadás előtt

Azok a szervezetek, amelyek a legjobban járnak egy zsarolóprogram-incidens után, általában azok, amelyek már a támadás előtt gyakorolták a reagálásukat. Ez azt jelenti, hogy dokumentált tervvel rendelkeznek, amely meghatározza, hogy ki hozza meg a fizetésről szóló döntést, kiket értesítenek jogi és bűnüldözési szempontból, hogyan kezelik a munkavállalókkal és ügyfelekkel való kommunikációt, és hogyan izolálják és állítják helyre a rendszereket.

Az asztali gyakorlatok (tabletop exercises) lefuttatása, ahol a munkatársak egy szimulált támadási forgatókönyvet járnak végig, segít felfedni a terv hiányosságait, amikor még nincs valódi nyomás. Emellett felgyorsítja a tényleges reagálást is, ha incidens történik, csökkentve a kitettségi időablakot és mérsékelve a fizetési kísértést, amely abból fakad, hogy úgy tűnik, nincs más kész opció.

Mit jelent ez Önnek

Az IT-vezetők és biztonsági csapatok számára ez a jelentés emlékeztető, hogy a zsarolóprogramokkal kapcsolatos ismételt zsarolási fizetések elég gyakoriak ahhoz, hogy beépítsék őket a tervezésbe – nem pedig szélsőséges kivételként kezeljék. Kezelje a váltságdíj fizetését végső megoldásként, amelynek valós esélye van a kudarcra, nem pedig megbízható biztosításként. Költségvetésben különítsen el forrásokat a megelőzésre (biztonsági mentések, szegmentálás, monitorozás) ugyanúgy, ahogy bármely más alapvető infrastrukturális költségre, mert a számok azt sugallják, hogy hosszú távon olcsóbb, mint a támadókkal folytatott ismételt tárgyalások.

Az egyéni felhasználók és a dedikált biztonsági csapattal nem rendelkező kisebb szervezetek számára ugyanezek az elvek kisebb méretben is alkalmazhatók: tartsanak offline másolatot minden pótolhatatlan dologról, használják a titkosítást, ahol elérhető, és előre tudják, kit hívnának, ha a rendszereik valaha is zárolásra kerülnének.

Főbb tanulságok

  • A felmérésben szereplő, zsarolóprogram-támadást elszenvedő szervezetek 54%-a fizetett váltságdíjat, de a fizetőknek csak 56%-a kapta vissza teljesen a hozzáférését az adataihoz.
  • A fizető szervezetek 37%-át második zsarolási követeléssel sújtották, ami azt mutatja, hogy a fizetés nem szünteti meg a kockázatot.
  • Az offline biztonsági mentések, a titkosítás és a hálózati szegmentálás csökkenti mind a sikeres támadás esélyét, mind a fizetésre irányuló nyomást.
  • A támadás előtt felépített, tesztelt incidenskezelési terv lerövidíti a helyreállítási időt és csökkenti a váltságdíj-fizetéstől való függőséget.
  • Az olvasók áttekinthetik a Proofpoint-felmérés eredményeit további alátámasztó adatokért arról, hogy milyen gyakran nem oldja meg a támadást a váltságdíj kifizetése.