Mit mutatnak az új adatok a zsarolóvírusok ismételt zsarolásáról

Connor Jones, a DataBreaches.Net munkatársa által közölt friss adatok megerősítik, amit a biztonsági kutatók évek óta sejtettek: a zsarolóvírus-bandának történő fizetés nem vet véget a megpróbáltatásoknak, gyakran csak a második kör kezdetét jelenti. A jelentés mellett idézett felmérési adatok szerint tavaly az érintett egyesült királyságbeli szervezetek 58 százaléka választotta a váltságdíj kifizetését. Azok közül, akik fizettek, 22 százalékot ismét megtámadott ugyanaz vagy egy másik bűnözői csoport, és második kifizetést követelt.

Ez azt jelenti, hogy nagyjából minden ötödik olyan szervezet, amely meghozta a nehéz döntést a fizetésről, semmi tartósat nem kapott a pénzéért. A zsarolási ciklus egyszerűen újraindult, néhány héten belül. Ez a fajta ismételt zsarolóvírus-fizetési minta a jelenlegi fenyegetettségi környezet meghatározó jellemzőjévé válik, és arra kényszeríti a biztonsági csapatokat és a vezetőket, hogy teljesen újragondolják, vajon a fizetés valaha is észszerű válasz-e.

Miért hívja ki a második támadást az egyszeri fizetés

A bűnözők szemszögéből az ismételt zsarolás logikája egyszerű. Amint egy szervezet bizonyítja, hogy hajlandó fizetni, megjelölt célponttá válik. A zsarolóvírus-üzemeltetők nyilvántartják, mely áldozatok engedtek, milyen gyorsan fizettek, és mekkora összeget voltak hajlandóak átadni. Ezek az információk gyakran keringenek a partnerhálózatok között, és néha eladják vagy megosztják őket a szolgáltatásként működtetett zsarolóvírus-modell keretében tevékenykedő bűnözői csoportok.

Az az áldozat, amely egyszer 500 000 dollárt fizet, gyakorlatilag azt jelzi, hogy rendelkezik mind a pénzügyi tartalékokkal, mind pedig a kockázattűrő képességgel ahhoz, hogy újra fizessen. A támadók tudják, hogy egy második behatolásnak, még egy kevésbé kifinomultnak is, jó esélye van a sikerre, ha az első betörést lehetővé tevő alapvető sebezhetőségeket soha nem sikerült teljesen megszüntetni. Számos kettős és hármas zsarolásos esetben az ellopott adatokat a fizetés után törölni sem mindig törlik az ígéretek ellenére, nyitva hagyva az ajtót egy újabb követelés előtt, amely ugyanazon ellopott információk nyilvánosságra hozatalának fenyegetésére épül.

Pontosan ezért tanácsolják a bűnüldöző szervek, köztük az FBI is, következetesen, hogy ne fizessenek váltságdíjat. A fizetés nem garantálja az adatok helyreállítását, az ellopott fájlok törlését, és amint ezek az új adatok mutatják, nem garantálja, hogy a támadók távol maradnak.

Proaktív védekezési módok, amelyek csökkentik a zsarolóvírus kockázatát

Ha a fizetés nem oldja meg megbízhatóan a problémát, a fenntarthatóbb út az, ha eleve csökkentjük a sikeres betörés esélyét. Számos védelmi réteg következetesen úgy jelenik meg az incidensreagálási tapasztalatokban, mint a különbség a megfékezett incidens és a katasztrofális között.

A hálózati szegmentálás korlátozza, hogy a támadó milyen messzire juthat, miután megvetette a lábát. Ahelyett, hogy egyetlen síkhálózat lenne, ahol egyetlen feltört hitelesítő adat megnyitja az összes erőforráshoz való hozzáférést, a szegmentált környezetek arra kényszerítik a támadókat, hogy minden egyes centiméterért megküzdjenek, ezzel időt nyerve a védőknek a felderítésre és a reagálásra.

A zéró bizalom hozzáférés-vezérlés feltételezi, hogy automatikusan egyetlen felhasználó vagy eszköz sem megbízható, még a vállalati peremhálózaton belül sem. Minden hozzáférési kérést ellenőriznek, ami sokkal nehezebbé teszi, hogy a feltört hitelesítő adatok önmagukban feloldják a kritikus rendszereket.

A megbízható, tesztelt és offline biztonsági mentések továbbra is az egyik leghatékonyabb elérhető védekezést jelentik a zsarolóvírusok ellen. A titkosított fájlok megszűnnek nyomást gyakorolni, amikor a szervezet tiszta mentésekből képes helyreállítani a működését, anélkül, hogy bárkivel tárgyalnia kellene. A kulcsszó a tesztelt: azok a mentések, amelyeket tényleges visszaállítási gyakorlatokkal nem ellenőriztek, gyakran pontosan akkor mondanak csődöt, amikor a legnagyobb szükség van rájuk.

A többfaktoros hitelesítés, az internetre néző rendszerek időben történő javítása és a szokatlan oldalirányú mozgás folyamatos figyelése teszi teljessé azt az alapvédelmet, amely elválasztja azokat a szervezeteket, amelyek gyorsan helyreállnak, azoktól, amelyek végül egy második zsarolási követeléssel szembesülnek.

Mit kellene tenniük a szervezeteknek fizetés helyett

Amikor zsarolóvírus-incidens történik, érthető az ösztön, hogy gyorsan fizessenek, és eltüntessék a problémát, különösen az ügyfelek, a szabályozó hatóságok vagy egy gyors megoldást követelő igazgatóság nyomása alatt. Az ismételt zsarolásra vonatkozó adatok azonban világossá teszik, hogy a fizetés nem megbízható kiút. A szervezetek jobban járnak, ha korán bevonják a bűnüldöző szerveket, igénybe veszik azokat az incidensreagálási szakembereket, akik fel tudják mérni az adatszivárgás tényleges mértékét, és átláthatóan kommunikálnak az érintettekkel, ahelyett, hogy azt feltételeznék, hogy egy csendes fizetés eltünteti a problémát.

Mit jelent ez Önnek

Akár egy kisvállalkozás informatikájáért felel, akár egy nagyobb szervezet biztonsági irányelveit felügyeli, ezek az adatok egyértelmű jelzést adnak a prioritások átcsoportosítására. A váltságdíj-vésztartalékra szánt pénzt sokkal jobban megéri hálózati szegmentálási projektekre, zéró bizalom bevezetésére és rendszeresen tesztelt biztonsági mentési infrastruktúrára költeni. A kiberbiztosítási kötvényeket és az incidensreagálási szerződéseket is felül kell vizsgálni annak biztosítása érdekében, hogy a megelőzést és a helyreállítási képességet hangsúlyozzák a kifizetés fedezése helyett.

Az egyének számára a tanulság kisebb léptékben hasonló: erős, egyedi jelszavak, többfaktoros hitelesítés, valamint a személyes és családi eszközök rendszeres biztonsági mentése csökkenti annak az esélyét, hogy egyetlen zsarolóvírus-fertőzés ismétlődő rémálommá váljon.

Gyakorlati teendők

  • Kezelje a váltságdíjfizetést végső megoldásként, ne első reagálási tervként; az adatok azt mutatják, hogy gyakran nem sikerül véget vetni a fenyegetésnek.
  • Fektessen be a hálózati szegmentálásba, hogy egyetlen feltört fiók se tegye ki a teljes környezetet.
  • Alkalmazzon zéró bizalmi elveket a belső és távoli hozzáférés során, minden kérést ellenőrizve, ahelyett, hogy kizárólag a hálózati helyzetben bízna.
  • Tartson fenn offline, rendszeresen tesztelt biztonsági mentéseket, hogy a helyreállítás ne a bűnözőkkel való tárgyalástól függjön.
  • Készítsen incidensreagálási tervet most, még a támadás előtt, hogy a döntéseket ne pánik és nyomás alatt hozzák meg.

A zsarolóvírusokkal kapcsolatos ismételt zsarolási kifizetések számának növekedése erős érv amellett, hogy az erőforrásokat a reaktív tárgyalásról a proaktív védelem felé csoportosítsák át. Azok a szervezetek, amelyek már most végrehajtják ezt a váltást, sokkal jobb helyzetben lesznek, mint azok, amelyek még mindig abban reménykednek, hogy egyetlen kifizetés megoldja a problémát.