Miért nem oldja meg a problémát a váltságdíj kifizetése?

Amikor egy zsarolóvírus lezárja egy vállalat rendszereit, érthető a késztetés, hogy fizessenek és továbblépjenek. A Proofpoint biztonsági cég 953 vállalatra kiterjedő új felmérése szerint azonban ez az ösztön visszafelé sülhet el. Az eredmények szerint a váltságdíjat fizető szervezetek gyakran vonzóbb célpontokká válnak, nem pedig kevésbé. Ha egy bűnözői csoport meggyőződik arról, hogy az áldozat hajlandó fizetni, ugyanazt az áldozatot egy következő támadásra is kijelölhetik.

Ennek azért van jelentősége, mert a váltságdíjfizetés logikája mindig is egy egyszerű cserén alapult: pénz a lezárásért. A vezetők azért hagynak jóvá kifizetéseket, mert úgy hiszik, hogy az helyreállítja a rendszereket, törli az ellopott adatokat, korlátozza az üzletmenet-folytonossági zavart, és megvédi az ügyfeleket. A Proofpoint kutatása szerint ez a csere sokkal kevésbé megbízható, mint ahogy a legtöbb szervezet feltételezi. A fizetés nem feltétlenül zárja le a támadóval való kapcsolatot; bizonyos esetekben új kapcsolatot indít el.

A második követelés üzleti logikája

A zsarolóvírus-csoportok úgy működnek, mint a vállalkozások, a vállalkozások pedig visszatérő ügyfeleket keresnek. Egy olyan vállalat, amely már bebizonyította, hogy fizetni fog, a bűnözők szempontjából bizonyított bevételi forrás. Rendelkezik működő tőkével, olyan vezetői csapattal, amely gyorsan hajlandó engedélyezni a kifizetést, és feltehetőleg még mindig vannak sebezhetőségei, amelyek az első támadás sikerét lehetővé tették.

Ez az utolsó pont kritikus. A váltságdíj kifizetése a közvetlen válságot kezeli, de ritkán javítja ki a biztonsági hiányosságokat, amelyek a támadókat beengedték. Ha ugyanaz a phising-vektor, javítatlan szoftver vagy nyitott távoli hozzáférési pont az incidens után is fennáll, semmi sem akadályozza meg ugyanazt a csoportot vagy egy partnerüket, amely hozzáférést vásárolt ugyanazokhoz az áldozati adatokhoz, hogy újra próbálkozzon. A Proofpoint zsarolóvírus-fizetőkkel kapcsolatos kutatásáról szóló korábbi cikkünk részletesebben bemutatja, hogy milyen gyakran fordulnak elő ilyen ismételt incidensek, és hogy a fizetés önmagában hogyan jelezhet más bűnözői csoportoknak, hogy a célpont sebezhető.

A zsarolási kockázat csökkentése, mielőtt elkezdődik

A jó hír az, hogy a szervezetek nem tehetetlenek. A zsarolóvírus-kockázatot csökkentő lépések nagyrészt ugyanazok, amelyeket a biztonsági csapatok már évek óta ajánlanak, csak ezen adatok fényében sürgetőbbé válnak.

Az offline, tesztelt biztonsági mentések fenntartása továbbra is a leghatékonyabb módja annak, hogy elkerüljük a fizetés vagy nem fizetés döntését. Ha a rendszereket vissza lehet állítani a biztonsági mentésből anélkül, hogy a támadó visszafejtő kulcsára szükség lenne, a zsarolás alapja összeomlik. A hálózati szegmentálás is fontos: annak korlátozása, hogy a támadó milyen messzire mozoghat bejutás után, csökkenti egyetlen kompromittálódás hatókörét, ami csökkenti a tárgyalási pozíciót a váltságdíj-alku során.

A folyamatos fenyegetésfigyelés és végpontészlelés segít elkapni a behatolásokat, mielőtt azok teljes körű titkosítási eseményekké fajulnának. Számos zsarolóvírus-támadás napokig vagy hetekig tart a kezdeti bejutás és a végső hasznos teher között; ez az ablak lehetőséget ad a beavatkozásra. A biztonságos távoli hozzáférési gyakorlatok, beleértve a VPN használatát a titkosított kapcsolatokhoz és a többtényezős hitelesítést mindenki számára, aki a vállalati hálózaton kívülről jelentkezik be, lezárják a bűnözők által kihasznált egyik leggyakoribb belépési pontot. Ezen intézkedések egyike sem garantálja a védettséget, de együttesen csökkentik annak esélyét, hogy egy vállalat egyáltalán váltságdíj-üzenettel szembesüljön.

Mit jelent ez az Ön számára

Ha az Ön szervezetét valaha zsarolóvírus éri, a Proofpoint eredményei azt sugallják, hogy a fizetést nem szabad tiszta megoldásként kezelni. Mielőtt bármilyen kifizetést engedélyezne, érdemes megkérdezni, hogy az alapul szolgáló sebezhetőséget azonosították-e és megszüntették-e, mert ha nem, a fizetés csupán az első részlet lehet a támadóval való folyamatos kapcsolatban.

Itt az ideje annak is, hogy a rendvédelmi szerveket korán bevonják, ne pedig utólag. A zsarolóvírus-csoportokat nyomon követő hivatalok néha fel tudnak ajánlani visszafejtő eszközöket, fenyegetés-intelligenciát egy adott banda viselkedéséről, vagy kontextust arról, hogy egy csoport rendelkezik-e ismételt zsarolás múltjával. Ha külső incidenskezelési szakértelmet vonunk be a fizetési döntés meghozatala előtt, nem pedig utána, világosabb képet kapunk a tényleges lehetőségekről.

A kisebb, dedikált biztonsági csapat nélkül működő vállalkozások számára a számítás hasonló, de az erőforrások szerényebbek. Ez teszi a megelőzést még fontosabbá: az olyan alapvető higiénia, mint a rendszeres biztonsági mentések, a javított szoftver és a biztonságos távoli hozzáférési eszközök, többet tesz a kockázat csökkentéséért, mint bármilyen incidens utáni döntés.

Főbb tanulságok

A Proofpoint felmérésének fő tanulsága egyszerű: a váltságdíjfizetés időt nyer, nem feltétlenül biztonságot. A szervezeteknek minden zsarolóvírus-incidenst úgy kell kezelniük, mint egy biztonsági hiányosság bizonyítékát, amelyet ki kell javítani, függetlenül attól, hogy történt-e fizetés. A gyakorlati lépések, amelyeket érdemes előtérbe helyezni, közé tartozik az offline biztonsági mentések fenntartása, a hálózatok szegmentálása, a behatolás korai jeleinek figyelése, és a távoli hozzáférés biztosítása erős hitelesítéssel és titkosított kapcsolatokkal.

A legfontosabb, hogy minden fizetési döntést egy komoly kármentesítési terv mellett kell meghozni, nem pedig ahelyett. A zsarolóvírus-bűnözők üzletet működtetnek, és az adatok arra utalnak, hogy pontosan tudják, mely ügyfeleket érdemes kétszer is számlázni.