Mit mutatnak az új váltságdíj-fizetési adatok

A Proofpoint biztonsági cég szerdán közzétett új jelentése kellemetlen megerősítést ad mindazoknak, akik valaha is fontolóra vették, hogy váltságdíjat fizessenek egy zsarolóvírus-bűnözői csoportnak, hogy megszabaduljanak egy problémától: a fizető áldozatok jelentős része végül egy második zsarolási követeléssel szembesül. A jelentés alátámasztja azt, amit a biztonsági kutatók és incidenskezelők évek óta hangoztatnak: a zsarolóvírus-tárgyalások nem jóhiszeműen zajlanak, és a fizetés nem garantálja, hogy a támadó valóban eltűnik.

A Proofpoint adatai számszerűsítik azt a mintát, amelyet a védekezők régóta gyanítottak. A váltságdíj-követelésnek engedelmeskedő szervezetek nem lezárást vásárolnak. Gyakran csak egy második zsarolási kört vásárolnak, ahol ugyanaz, vagy egy teljesen másik csoport visszatér, és még többet követel.

Miért hív életre egy második támadást a váltságdíj fizetése

A visszatérő zsarolás logikája egyszerű, ha a támadó szemszögéből gondolkodunk. A zsarolóvírus-csoportok teljes üzleti modellje azon alapul, hogy az áldozatok elhiggyék: a fizetés véget vet a válságnak. Ám nincs jogi szerződés, nincs végrehajtási mechanizmus, és nincs olyan reputációs kockázat sem, amely elég erős lenne ahhoz, hogy garantálja a támadó szavát, miután a pénz átutalásra került. Ha egy áldozat már bizonyította hajlandóságát és képességét a fizetésre, akkor nem rendezett ügyfél, hanem vonzóbb célponttá válik.

Részben ez az oka annak, hogy a biztonsági kutatók alapvetően másfajta tranzakcióként írják le a zsarolóvírus-tárgyalásokat, mint a normális üzleti megállapodásokat. A másik félnek semmi érdeke nem fűződik ahhoz, hogy valóban eltűnjön. Egy bűnözői csoport, amely egyszer sikeresen kicsikart egy fizetést, minden okkal tesztelheti, hogy ugyanaz a szervezet fizet-e újra – akár a rendszerek újra titkosításával, akár a korábban ellopott adatok kiszivárogtatásával való ismételt fenyegetéssel, vagy egyszerűen egy új követeléssel, amely az eredeti adatsértésből fakad.

Ez a dinamika szorosan kapcsolódik ahhoz, amit az iparág kettős zsarolásnak vagy többszörös zsarolásnak nevez, ahol a támadók nemcsak titkosítják a fájlokat, hanem előtte adatokat is lopnak, így több nyomásgyakorlási pontjuk is van, hogy tovább szoríthassák az áldozatot akkor is, ha a váltságdíjat kifizették. A Proofpoint eredményei azt sugallják, hogy még a kezdeti nyomásgyakorló kampány sikere után sem feltétlenül apad el a kút.

Hogyan teszik könnyebbé a fel nem fedezett adatsértések a visszatérő zsarolást

Az egyik ok, amiért a visszatérő zsarolás olyan jól működik a támadók számára, hogy sok áldozat nem érti teljesen az adatsértés mértékét, mire a fizetés mellett dönt. Ha egy szervezet titkosított fájlokat fedez fel, és váltságdíjról tárgyal anélkül, hogy először pontosan azonosítaná, milyen adatokhoz fértek hozzá, mit másoltak le, vagy milyen hátsó ajtókat hagytak hátra, lényegében anélkül egyezik bele egy árba, hogy tudná, mit vásárol vissza valójában.

Ez a szakadék a felderítés és a válaszlépések között visszatérő téma a zsarolóvírus-kutatásokban. Amint erről egy kapcsolódó jelentés a zsarolóvírusok felderítésének hibáiról is beszámol, a zsarolóvírus-áldozatok közel fele már azelőtt adatokat veszít, hogy észlelné a támadás megkezdését. Ez a késedelem itt óriási jelentőségű: ha az áldozat nem tudja, hogy a támadó hetekkel a zsarolóvírus bevetése előtt adatokat szivárogtatott ki, akkor a fájlok feloldásáért fizetett összeg semmit sem old meg a bűnözői szerveren tárolt ellopott információkkal kapcsolatban, amelyeket egy második követelés révén ismét pénzzé lehet tenni, el lehet adni külön, vagy később új szivárogtatási fenyegetésre használni.

Védekező lépések: biztonsági mentések, monitorozás és incidenskezelési tervezés

A Proofpoint jelentésének gyakorlati tanulsága nem az, hogy a váltságdíj fizetésére soha, semmilyen körülmények között ne kerüljön sor. Hanem az, hogy a fizetést soha ne kezeljük garantált megoldásként. A szervezeteknek, valamint a kisebb hálózatokat vagy vállalkozásokat kezelő egyéneknek jobban szolgálja az érdekeit, ha inkább a megelőzésbe és a felderítésbe fektetnek be megelőzően, mint a tárgyalásba utólag.

Ez rendszeres, tesztelt, offline biztonsági mentések fenntartását jelenti, hogy a titkosított fájlokat fizetés nélkül lehessen visszaállítani. Olyan monitorozó eszközökbe való befektetést, amelyek még azelőtt észlelik a jogosulatlan adathozzáférést, hogy a támadóknak idejük lenne nagy mennyiségű érzékeny információt kiszivárogtatni. Továbbá azt is jelenti, hogy már a támadás előtt rendelkezni kell egy incidenskezelési tervvel, amely magában foglalja a kriminalisztikai vizsgálatot is, hogy pontosan meg lehessen állapítani, mihez fértek hozzá, nem csupán azt, hogy a fájlokat titkosították-e.

Mit jelent ez az Ön számára

A kisvállalkozások tulajdonosai és magánszemélyek számára a kutatás üzenete egyértelmű: ne feltételezzük, hogy a váltságdíj kifizetése az a gyors, tiszta megoldás, aminek az adott pillanatban tűnik. A támadók, akik már bebizonyították, hogy hajlandóak kizsarolni minket egyszer, megvannak az eszközeik és a motivációjuk is, hogy újra megtegyék. A zsarolóvírusos visszatérő zsarolási támadások elleni valódi védekezés nem egy jobb tárgyalási stratégia, hanem annak az esélyét csökkenteni, hogy egyáltalán ilyen helyzetbe kerüljünk, erős biztonsági mentésekkel, gyorsabb felderítéssel és egyértelmű válaszreakciós tervvel.

Gyakorlati teendők

  • Kezelje a váltságdíj fizetését végső megoldásként, ne garantált javításként, hiszen a Proofpoint adatai szerint a támadók gyakran új követelésekkel térnek vissza.
  • Részesítse előnyben az offline, tesztelt biztonsági mentéseket, hogy a titkosítás önmagában ne kényszerítsen fizetési döntést.
  • Fektessen be olyan felderítő eszközökbe, amelyek korán észlelik az adatszivárgást, mivel a késlekedő felderítés nagyobb mozgásteret ad a támadóknak a visszatérő zsarolásra.
  • Készítsen incidenskezelési tervet még a támadás bekövetkezése előtt, beleértve a kriminalisztikai lépéseket is, hogy fel lehessen mérni az adatsértés teljes mértékét.
  • Tételezze fel, hogy minden, a váltságdíj kifizetése előtt ellopott adat a jövőben is kockázatot jelent, függetlenül attól, mit ígérnek a támadók.