Mit talált a Proofpoint tanulmánya az ismétlődő támadásokról
A Proofpoint kiberbiztonsági cég új tanulmánya kijózanító valóságellenőrzést nyújt azoknak a szervezeteknek, amelyek a váltságdíjfizetést gyors megoldásként kezelik. A kutatás szerint a váltságdíjat kifizető vállalatok több mint egyharmadát később ismételt zsarolási kísérlettel vették célba. Más szóval, a csekk megírása nem zárja le az incidenst; az áldozatok jelentős része számára csupán új fejezetet nyit.
A megállapítás azért lényeges, mert megkérdőjelezi a válsághelyzetben a vállalatvezetés körében gyakori feltételezést: miszerint a támadóknak való fizetés a leggyorsabb módja a probléma megszüntetésének. A Proofpoint adatai ennek ellenkezőjét sugallják. Ha egy cég bebizonyítja, hogy hajlandó fizetni, ismételt célponttá válhat, akár az eredeti támadó, akár egy másik csoport számára, amely megtudta, hogy a szervezet könnyű prédát jelent.
Miért nem garantálja a váltságdíj megfizetése az adatok biztonságát
A Proofpoint által kiemelt alapvető probléma az, hogy a váltságdíj-tárgyalások olyan bűnözőkbe vetett bizalomra épülnek, akiknek semmilyen kötelező erejű kötelezettségük nincs az alku betartására. A titkosított fájlok feloldásáért való fizetés nem garantálja, hogy az ellopott adatokat nem másolták már le máshova, és nem akadályozza meg, hogy a támadók viszonteladják a hozzáférési hitelesítő adatokat, a hálózati térképeket vagy a kiszivárogtatott fájlokat más bűnözői csoportoknak.
Ez a mechanizmus áll a tanulmány által leírt ismétlődő zsarolási ciklus mögött. A modern ransomware műveletek egyre inkább a kettős zsarolásra támaszkodnak: titkosítják a rendszereket, ugyanakkor érzékeny adatokat is lopnak, mielőtt fizetést követelnének. Még ha a visszafejtő kulcs is a megígértek szerint érkezik, az ellopott adatok maguk továbbra is problémát jelentenek. Felhasználhatók egy második zsarolásra, eladhatók a bűnözői piactereken, vagy kihasználhatja őket egy teljesen más fenyegető szereplő, aki hozzáférést vásárol az eredeti támadótól. A fizetés megoldja a közvetlen üzemzavart, de semmit nem tesz a szervezet adatainak alapvető kitettsége ellen.
A kis- és középvállalkozásokat fenyegető növekvő veszély
Bár a nagyvállalatok uralták eddig a ransomware híreket, a kisebb és közepes méretű vállalkozások egyre inkább a célkeresztbe kerülnek, gyakran azért, mert kevesebb erőforrással rendelkeznek az észlelésre, reagálásra és helyreállításra. Ezek a szervezetek különösen sebezhetőek a Proofpoint által leírt ismétlődő zsarolási mintázattal szemben, mivel egyetlen sikeres fizetés jelezheti, hogy hajlandóak és képesek is újra fizetni.
Ez a dinamika már most is megfigyelhető a kifejezetten kisebb szervezeteket célzó ransomware-as-a-service műveleteknél. Amint azt a Qilin és The Gentlemen ransomware csoportok KKV-támadásainak fokozódását részletező cikk is bemutatja, ezek a csoportok az uralomért versengenek olyan vállalkozásokra összpontosítva, amelyeknek hiányzik a tárgyalási tapasztalat, a jogi tanácsadás vagy az incidensreagálási infrastruktúra, amit a nagyobb cégek bevethetnek. Amikor egy kisebb vállalat egyszer fizet, előfordulhat, hogy nincs elegendő forrása ahhoz, hogy alapvetően megváltoztassa biztonsági helyzetét, így ugyanazok a sebezhetőségek maradnak nyitva a következő próbálkozás előtt.
A kockázat csökkentése: Biztonsági mentések, titkosítás és incidenskezelési tervezés
A Proofpoint megállapításai megerősítik azt az üzenetet, amelyet a biztonsági szakemberek évek óta ismételnek: a megelőzés és a felkészülés fontosabb, mint a tárgyalás. Néhány gyakorlati lépés érdemben csökkentheti mind a támadás valószínűségét, mind pedig a bekövetkezésekor keletkező kárt.
Először is, rendszeresen tesztelt offline vagy megváltoztathatatlan biztonsági mentéseket kell fenntartani. A váltságdíjfizetés gyakran az egyetlen lehetőséggé válik, ha a mentések hiányoznak, elavultak, vagy maguk is titkosítva vannak a támadás során. Másodszor, érzékeny adatokat titkosítani kell tárolás és továbbítás közben, hogy a támadók által kiszivárogtatott adatok értéke korlátozott legyen. Harmadszor, incidensreagálási tervet kell készíteni még a támadás előtt, nem pedig közben. Ennek a tervnek tartalmaznia kell a világos szerepköröket, kommunikációs protokollokat és előzetesen ellenőrzött jogi és igazságügyi kapcsolatokat, hogy a döntések ne pánik és időnyomás alatt szülessenek.
A szervezeteknek azt is feltételezniük kell, hogy bármely, a behatolás által érintett adat végül nyilvánosságra kerülhet vagy viszonteladásra kerülhet, függetlenül attól, hogy fizetnek-e váltságdíjat. Erre a lehetőségre való felkészülés – ügyféltájékoztatási eljárások, hitelfigyelési ajánlatok és jogi felülvizsgálat révén – sokkal megbízhatóbb, mint abban reménykedni, hogy egy bűnözői csoport törli az ellopott fájlokat a fizetés után.
Mit jelent ez Önnek
Ha szervezete valaha is váltságdíj-követeléssel szembesül, a Proofpoint kutatása szerint a fizetési döntést nem szabad garantált megoldásként kezelni. A váltságdíjfizetést követő ismételt zsarolás kockázata valós és dokumentált: a fizetés célponttá jelölheti Önt, ahelyett, hogy lezárná az incidenst. Akár egy kisvállalkozást működtet, akár egy nagyobb vállalat biztonságáért felel, a legbiztonságosabb feltételezés az, hogy a ransomware esemény nem biztos, hogy egyszeri alkalom, hacsak nem kezelik azokat a kiváltó okokat, amelyek lehetővé tették a behatolást.
Kulcsfontosságú tanulságok
- Ne feltételezze, hogy a fizetés véget vet a fenyegetésnek. A Proofpoint szerint a fizető áldozatok több mint egyharmada második zsarolási kísérlettel szembesül.
- Helyezze előtérbe a megváltoztathatatlan, tesztelt biztonsági mentéseket, hogy a fizetés soha ne legyen az egyetlen út a helyreállításhoz.
- Titkosítsa az érzékeny adatokat, hogy korlátozza a kiszivárogtatás kárát akkor is, ha a rendszerek kompromittálódnak.
- Készítsen és gyakorolja be az incidensreagálási tervet a támadás előtt, ne közben.
- Ismerje fel, hogy a kisebb vállalkozásokat egyre inkább olyan csoportok célozzák, mint a Qilin és a The Gentlemen, így a proaktív védelem a cég méretétől függetlenül elengedhetetlen.
