Amit a Proofpoint indiai ransomware-adatai valójában mutatnak

A Proofpoint biztonsági cég új jelentése aggasztó képet fest az indiai szervezetekről, amelyek ransomware-rel küzdenek. Az adatok azt mutatják, hogy az érintett indiai cégek 62%-a nagyobb összhatásról számolt be a legutóbbi támadásuk kapcsán, ami annak a jele, hogy ezek az incidensek egyre károsabbá válnak, nem kevésbé, még akkor is, ha a tudatosság és a védelmi kiadások növekednek. A legfigyelemreméltóbb talán az a megerősítés, hogy az indiai ransomware-adatlopásos zsarolás mára inkább normává, mint kivétellé vált: a Proofpoint által vizsgált incidensek 71%-ában igazoltak adatlopást.

Ez a statisztika új megvilágításba helyezi azt, amit sok szervezet még mindig ransomware-problémának gondol. Ez már nem csupán titkosított fájlokról és egy váltságdíjüzenetről szól. A vizsgált esetek túlnyomó többségében a támadók már kiszivárogtatták az érzékeny adatokat, mielőtt zárolták volna a rendszereket, így második nyomást gyakorolhatnak, még akkor is, ha az áldozat biztonsági mentései elég stabilak ahhoz, hogy ne kelljen fizetni a visszafejtő kulcsért.

Miért nem állítja meg a váltságdíj kifizetése az ismételt zsarolást

A bűnüldöző szervek és biztonsági szakemberek széles körű útmutatása ellenére, amely a váltságdíj kifizetése ellen szól, az érintett indiai szervezetek 64%-a mégis fizetett. Az ösztön érthető: a fizetés tűnik a leggyorsabb útnak a normál működéshez való visszatéréshez. A Proofpoint megállapításai azonban arra utalnak, hogy ez az ösztön egyre inkább téves. Azok közel fele, 48%-a, akik fizettek, később további zsarolási követelésekkel szembesült.

Ez a minta nem egyedülálló Indiára. Tükrözi azt, amit a Proofpoint globálisan dokumentált, ahol a váltságdíjat fizetők gyakran ismét támadás áldozataivá válnak, és a fizetés kevésbé megoldásként, inkább jelzésként működik a támadók felé, hogy a célpont hajlandó tárgyalni. A Proofpoint külön kutatása megállapította, hogy a váltságdíjat fizetők 22%-a szembesül ismételt zsarolással, míg más adatok szerint nagyjából minden harmadik váltságdíjat fizetőt újra megtámadnak. India 48%-os ismételt zsarolási aránya ennek a tartománynak a felső végén helyezkedik el, ami arra utal, hogy az ottani szervezetek a globális trend még súlyosabb változatával nézhetnek szembe.

A 71%-os adatlopási arány: Mit visznek el a támadók a titkosítás előtt

Az ok, amiért az ismételt zsarolás olyan jól működik a támadók számára, egyszerű: amint az adatokat ellopták, a titkosítás szinte lényegtelenné válik. Ha az incidensek 71%-a már igazolt adatlopással jár, akkor a visszafejtő kulcsért való fizetés semmit sem tesz a támadó infrastruktúráján lévő érzékeny fájlok másolatával kapcsolatban. Ezeket az adatokat eladhatják, kiszivárogtathatják, vagy friss nyomásként használhatják egy második vagy harmadik követeléshez, ami segít megmagyarázni, miért fizetett olyan sok szervezet, amely egyszer már fizetett, végül újra, vagy miért szembesült új fenyegetésekkel az első rendezése után is.

Ez az a lényegi változás, amely elválasztja a modern ransomware-t a korábbi évek fájlzároló támadásaitól. A titkosítás rövid távon megzavarja a működést, de az adatlopás hosszú távú kötelezettséget teremt, amelyet egyetlen fizetés nem képes megoldani. Az ügyfélnyilvántartásokat, pénzügyi információkat vagy saját üzleti adatokat kezelő szervezetek számára a kitettség nem ér véget, amikor a rendszerek újra online állapotba kerülnek.

A kitettség csökkentése: Hálózatszegmentálás, biztonsági mentések és hozzáférés-szabályozás

A gyakorlati válasznak erre a változásra túl kell lépnie azon, hogy egyszerűen eldöntsük, fizetünk-e vagy sem. Néhány konkrét lépés fontosabb, mint valaha:

  • A hálózatszegmentálás korlátozza, hogy a támadó milyen messzire juthat, ha már bejutott, csökkentve annak esélyét, hogy egyetlen kompromittált fiók a szervezet egészére kiterjedő adatkitettséghez vezessen.
  • Az offline, tesztelt biztonsági mentések továbbra is elengedhetetlenek a titkosítás utáni helyreállításhoz, de nem oldják meg az adatlopás problémáját, ezért ezeket párosítani kell a szokatlan kimenő adatforgalom figyelésével.
  • A szigorú hozzáférés-szabályozás és a legkisebb jogosultság elve csökkenti az érzékeny adatok mennyiségét, amelyet egyetlen kompromittált hitelesítő adattal el lehet érni.
  • Az incidenskezelési tervezés során feltételezni kell, hogy az adatokat már lemásolták, nem csak azt, hogy a rendszerek zárolva lehetnek, és tartalmaznia kell egy kommunikációs tervet az ügyfelek és a szabályozó hatóságok számára, ha az adatok kitettsége igazolást nyer.

Azok a szervezetek, amelyek ezen elvek köré építik védelmüket, abból a feltételezésből indulnak ki, hogy a megelőzés önmagában nem mindig lesz sikeres, és hogy a behatolás robbanási sugarának korlátozása ugyanolyan fontos, mint a támadók távol tartása eleve.

Mit jelent ez Önnek

Ha az Ön szervezete Indiában működik, vagy indiai ügyfelekhez vagy partnerekhez kapcsolódó adatokat kezel, ez a jelentés arra figyelmeztet, hogy vizsgálja felül az incidenskezelési terveket egy konkrét kérdés szem előtt tartásával: mi történik, miután felfedezzük, hogy az adatokat már ellopták, nem csak azt követően, hogy a fájlok titkosítva lettek? Ha a ransomware-t pusztán rendelkezésre állási problémaként kezeljük, amely biztonsági mentésekkel és egy esetleges fizetéssel megoldható, az már nem felel meg annak, ahogyan ezek a támadások valójában zajlanak. Az indiai ransomware-adatlopásos zsarolási minta, amelyet a Proofpoint adatai leírnak, azt mutatja, hogy a titkosítás pillanata gyakran csak egy szakasz egy hosszabb kampányban.

Főbb tanulságok

  • Feltételezze, hogy bármely ransomware-incidens során adatlopás történt; ne várjon a megerősítésre, hogy ez alapján cselekedjen.
  • Kezelje a váltságdíj kifizetését olyan üzleti döntésként, amely valós ismételt zsarolási kockázattal jár, nem pedig garantált megoldásként; ez a minta összhangban van azzal, amit más Proofpoint-kutatások az ismételt zsarolásról dokumentáltak a különböző piacokon.
  • Fektessen be most a szegmentálásba és a hozzáférés-szabályozásba, mivel ezek korlátozzák a károkat, függetlenül attól, hogy a támadó hogyan jut be.
  • Készítsen adatszivárgási kommunikációs tervet a ransomware-helyreállítási terve mellett, mivel ez a kettő egyre inkább ugyanaz az esemény.

Ahogyan azt a ransomware-kifizetésekről szóló szélesebb iparági adatok továbbra is mutatják, India tapasztalata nem kiugró eset. Ez a több szakaszú zsarolás felé irányuló globális elmozdulás helyi tükröződése, és azok a szervezetek, amelyek most terveznek rá, sokkal jobb helyzetben lesznek, mint azok, amelyek még mindig abban reménykednek, hogy egyetlen fizetés eltünteti a problémát.