A ransomware valódi profitforrása nem a titkosítás

Évek óta a ransomware elleni védekezés egyetlen pillanatra összpontosított: arra a másodpercre, amikor a fájlok zárolódnak. Ám a The National CIO Review által ismertetett új megállapítások egyértelművé teszik, hogy a titkosítás gyakran a legkevésbé értékes része a zsarolóvírus-támadásnak a mögötte álló bűnözők számára. A valódi haszon az adatlopásból származik, és ez a haszon nem szűnik meg, amikor kifizetik a váltságdíjat vagy helyreállítják a rendszereket.

A jelentés szerint az érintett szervezetek 54%-a fizetett váltságdíjat. Ez önmagában nem meglepő, tekintettel arra, hogy a titkosított rendszerek milyen zavart okozhatnak. Ami kiemelkedik, az a később történtek: azoknak a szervezeteknek a 37%-a, amelyek fizettek, később újabb követelést kaptak ugyanattól vagy egy másik támadótól. Más szóval, az áldozatok több mint harmada, akik azt hitték, lezárták az incidenst, ismét a kiindulóponton találta magát, és újra tárgyalhattak ugyanazokról az ellopott adatokról.

Miért fizet a támadóknak az ellopott adat

Miután a támadók kiszivárogtatják az adatokat a titkosítás alkalmazása előtt, több, különálló bevételi forráshoz jutnak, amelyek nem függenek attól, hogy az áldozat rendszerei továbbra is zárolva maradnak. A jelentés ezek közül többet is felsorol:

  • Nyilvános közzététellel való fenyegetés: A támadók azzal fenyegetőznek, hogy kiszivárogtatják az érzékeny fájlokat, hacsak nem fizetnek újra, még azután is, hogy a visszafejtő kulcsokért már kifizették az eredeti váltságdíjat.
  • Ellopott adatok továbbértékesítése: Az információkat bűnözői piactereken más fenyegető szereplőknek adják el, függetlenül attól, hogy az eredeti áldozat fizetett-e.
  • Hitelesítő adatokkal való visszaélés: Az ellopott fájlokban talált felhasználóneveket, jelszavakat és hozzáférési tokeneket más fiókok vagy rendszerek kompromittálására használják fel, néha partnercégeknél vagy beszállítóknál.
  • További (követő) támadások: Az adatszivárgásból gyűjtött adatok, például hálózati diagramok, beszállítói szerződések vagy belső kommunikációk, megkönnyítik és célzottabbá teszik a későbbi behatolásokat.

Ez az oka annak, hogy a biztonsági kutatók a modern zsarolóvírust egyre inkább adatlopási problémának tekintik, amelyhez titkosítás is társul, nem pedig fordítva. A titkosítás napokra vagy hetekre megzavarja a működést. Az ellopott adatokat hónapokig vagy évekig lehet fegyverként használni.

Egy friss példa erre a dinamikára, ami nyilvánosan játszódott le, a Tata Electronics adatszivárgása, amely kiszivárogtatta az iPhone 18 Pro titkait, ahol egy World Leaks nevű zsarolóvírus-csoport érzékeny, még ki nem adott termékinformációkat tett közzé, miután hozzáfért a belső rendszerekhez. Az ilyen esetek jól mutatják, hogy az ellopott vállalati adatok a kezdeti behatoláson túl is megőrzik értéküket a támadók számára, és hogy már a nyilvánosságra hozatal fenyegetése is nehéz döntések elé állíthatja a szervezeteket, még működő titkosító program nélkül is.

Miért nem garantálja a fizetés az incidens végét?

A 37%-os ismétlődő követelési arány külön figyelmet érdemel, mert aláássa azt a gyakori feltételezést, hogy a váltságdíj kifizetése lezárja az incidenst. Valójában, amint az adatok elhagyják a szervezet hálózatát, az áldozatnak nincs módja ellenőrizni, hogy a másolatokat megsemmisítették-e, hogy a támadó nem értékesíti-e újra az információkat, vagy hogy egy másik csoport nem jutott-e már ugyanazokhoz a fájlokhoz. A fizetés a titkosítási problémát orvosolja. Semmit sem tesz az adatlopási probléma ellen, mert az adatok már kikerültek az áldozat ellenőrzése alól abban a pillanatban, amikor kiszivárogtatták őket.

Ennek közvetlen következményei vannak arra nézve, hogy a szervezetek hogyan gondolkodnak a zsarolóvírusok elleni felkészültségről. A biztonsági mentés és a helyreállítás tervezése fontos a rendszerek újraindításához, de semmit sem tesz a kiszivárgás, az újraértékesítés vagy egy második zsarolási kísérlet megakadályozásáért. A kiszivárgás megelőzése eleve – hálózati szegmentációval, szigorú hozzáférés-szabályozással és annak minimalizálásával, hogy mennyi érzékeny adatot tárolnak vagy érhetnek el – ugyanolyan fontos, mint a helyreállítás tervezése.

Mit jelent ez Önnek?

Akár egy kisvállalkozás informatikáját kezeli, akár egyszerűen csak a saját fiókjait védi, az adatokból levonható tanulság ugyanaz: feltételezze, hogy bármely, az Ön adatait érintő adatsértés folyamatos kitettséghez vezethet, nem csupán egyetlen eseményhez. Ha egy olyan cég, amellyel kapcsolatban áll, zsarolóvírus-támadást hoz nyilvánosságra, kezelje azt nyitott kockázatként. A jelszavak újrafelhasználása, a régi fiókazonosítók és az adatsértéshez kapcsolódó személyes adatok hosszú idővel azután is felbukkanhatnak, hogy a hírek elcsitultak, hitelesítő adatokkal való próbálkozások vagy további átverések formájában.

A szervezetek számára a tanulság az, hogy az adatminimalizálást és a hálózati szegmentációt alapvető ransomware-elleni védelemnek tekintsék, ne utólagos gondolatnak. Annak korlátozása, hogy mennyi érzékeny adat érhető el bármely egyetlen kompromittált pontról, csökkenti, hogy a támadók mennyit tudnak ellopni, még akkor is, ha bejutnak.

Teendők

  • Használjon egyedi jelszavakat minden fiókhoz, és frissítse azokat, ha értesítést kap az adatait érintő adatsértésről, akár hónapokkal később is.
  • Ahol csak lehetséges, engedélyezze a többtényezős hitelesítést, hogy csökkentse az ellopott hitelesítő adatok értékét.
  • Ha vállalkozást vezet, ellenőrizze, milyen érzékeny adatokat tárolnak, és ki férhet hozzájuk; a kevesebb kiszolgáltatott adat kisebb nyomást gyakorol a támadókra.
  • Ne feltételezze, hogy a zsarolóvírus-incidens lezárult, miután a váltságdíjat kifizették vagy a rendszereket helyreállították. Figyelje a kiszivárgott adatokra vagy a megújult zsarolási kísérletekre utaló jeleket.
  • Szegmentálja a hálózatokat úgy, hogy egyetlen kompromittált eszköz vagy fiók se tegye ki a teljes adatkörnyezetet.

A zsarolóvírusok legnagyobb előnye nem a címlapokra kerülő titkosítás. Hanem az az adatlopás, amely csendben, előzetesen történik, és amely a támadók számára továbbra is értéket termel, jóval azután, hogy a kezdeti válság megoldottnak tűnik.