A zsarolóvírus-támadások célpontjait a fizetési esélyek, nem a hírnév határozzák meg
Évek óta a zsarolóvírus-áldozatok népszerű képe egy-egy jól ismert név: egy kórházrendszer, egy nagy légitársaság, egy globális gyártó. Egy friss elemzés azonban egy egyszerűbb és hasznosabb megállapítást tesz: a zsarolóvírus-támadások célpontjait a fizetési esélyek, nem a hírnév határozzák meg. A támadók, és konkrétan azok a kapcsolt bűnözők, akik a zsarolóvírus-betörések többségét végrehajtják, nem a címlapokra hajtanak. Ők a kifizetésre hajtanak, és ez megváltoztatja, hogy kik kerülnek a célkeresztjükbe.
A mögöttes gazdasági logika egyszerű. A legtöbb modern zsarolóvírus zsarolóvírus-szolgáltatás (ransomware-as-a-service) modellben működik, ahol egy alcsoport fejleszti a kártevőt és az infrastruktúrát, míg a független kapcsolt bűnözők végzik a tényleges betöréseket. Ezek a kapcsolt bűnözők csak akkor kapnak jutalékot, ha az áldozat fizet. Ez az egyetlen tény átszervezi a teljes célpontválasztási folyamatot. Ahelyett, hogy azt kérdeznék: „ki okozna nagyobb feltűnést”, a kapcsolt bűnözők azt kérdezik: „ki fizet a legvalószínűbben, és milyen gyorsan.”
Miért győzi le a fizetési valószínűség a márkaismertséget
Amikor a fizetés az egyetlen bevételi forrás, a hírnév irrelevánssá válik, hacsak nem korrelál a fizetési hajlandósággal vagy képességgel. Egy jól ismert márka, amely erős biztonsági mentésekkel, megerősített incidenskezelési tervvel és a támadókkal való tárgyalás nyilvános elutasításával rendelkezik, valójában rossz célpont, még akkor is, ha a feltörése több médiafigyelmet generálna. Eközben egy közepes méretű vállalat gyengébb védelemmel, kiberbiztosítási fedezettel és olyan üzleti modellel, amely nem tolerálja a leállást, sokkal vonzóbbá válik.
Azok a jelzések, amelyek növelik az áldozat észlelt fizetési esélyeit: a rendelkezésre álló források bizonyítéka, világos belső folyamat a nagy összegű kifizetések gyors engedélyezésére, a folyamatos működéstől való függőség, valamint a korábbi váltságdíj-fizetések története (nyilvános vagy következtetett). Azok a szervezetek, amelyek nyilvánosan megtagadták a fizetést, az ellenkező jelzést küldik. A Stadler Rail például elutasított egy 12,3 millió dolláros váltságdíj-követelést az Everest zsarolóbandától, miután a támadók egy beszállítón keresztül műszaki adatokat loptak el – ez a döntés csökkenti annak az ösztönzését, hogy ugyanez a csoport a jövőben hasonló célpontokat részesítsen előnyben. Berlin állami kormányzata hasonló álláspontra helyezkedett, megerősítve, hogy nem fizet a hackereknek egy hálózati betörést követő aktív zsarolási kísérlet ellenére. Minden nyilvános elutasítás aláássa azt a fizetési esélyekre épülő számítást, amely a kapcsolt bűnözők döntéshozatalát vezérli.
Az adatvédelem szempontja: Az adatlopás nem vár a döntésre
Ennek a célpontválasztási logikának közvetlen adatvédelmi következménye van, amely gyakran elveszik a váltságdíj-fizetési vitákban. jóval azelőtt, hogy az áldozat eldöntené, fizet-e, a támadók jellemzően már exfiltrálták az adatokat. A modern zsarolóvírus-műveletek egyre inkább a kettős zsarolásra támaszkodnak, titkosítva a rendszereket, miközben érzékeny fájlokat is ellopnak további nyomásgyakorlás céljából. Ez azt jelenti, hogy a személyes adatok, pénzügyi nyilvántartások és belső kommunikáció a váltságdíj kimenetelétől függetlenül nyilvánosságra kerülhetnek vagy eladhatók.
A ShinyHunters csoport kolumbiai pénzügyi szolgáltató, az Addi.com elleni támadása világosan illusztrálja ezt a kockázatot. A csoport magára vállalta 16 millió pénzügyi rekord ellopását, ami olyan mértékű adatkitettség, amelynek semmi köze ahhoz, hogy az Addi.com híres vagy politikailag jelentős célpont volt-e. Ugyanazt a mögöttes logikát tükrözi: egy pénzügyi szolgáltató cég, amely nagy mennyiségű érzékeny adatot tárol, nagy értékű zsarolási lehetőséget jelent, a márkaismertségtől függetlenül. A hétköznapi felhasználók számára ez azt jelenti, hogy adataik már pusztán azért kerülhetnek veszélybe, mert az őket tároló szervezet jó fogadásnak tűnt egy kapcsolt bűnöző számára – nem azért, mert bárki is céltpontként számított volna rá.
Mit jelent ez az Ön számára
Ha a célpontválasztást a fizetési esélyek, nem pedig a hírnév vezérlik, a gyakorlati tanulság az, hogy egyetlen szervezet sem feltételezheti méretétől vagy láthatóságától függetlenül, hogy „túl kicsi ahhoz, hogy számítson” a zsarolóvírus-operátorok számára. A kisebb vállalatok, egészségügyi szolgáltatók, pénzügyi platformok és helyi önkormányzati szervek gyakran éppen azért vonzók, mert kevésbé kiforrott védelemmel és nagyobb operatív nyomással rendelkeznek a hozzáférés gyors helyreállítására.
Az egyének számára ez megerősíti egy ismerős, de fontos valóságot: személyes adataik biztonsága nagymértékben függ minden őket tároló szervezet biztonsági helyzetétől, nem csak a híresekétől. A pénzügyi intézmények, kisebb szolgáltatók és az ellátási láncban lévő beszállítók mind valószínű belépési pontok, amint azt a Stadler Rail incidens is demonstrálja.
Gyakorlati tanulságok
A szervezeteknek a biztonsági mentések integritását, az incidenskezelési tervezést és a váltságdíj-politikáról szóló nyilvános kommunikációt olyan eszközökként kell kezelniük, amelyek közvetlenül csökkentik vonzerejüket a könnyű kifizetéseket kereső kapcsolt bűnözők szemében. Az egyéneknek feltételezniük kell, hogy bármely érzékeny személyes vagy pénzügyi adatot tároló szolgáltatás célponttá válhat, és erős, egyedi jelszavakat kell használniuk, ahol lehetséges, többtényezős hitelesítést kell engedélyezniük, valamint figyelniük kell a fiókokat szokatlan tevékenységre bármely adatszivárgási értesítést követően. Mivel a zsarolóvírus-támadások célpontjait a fizetési esélyek, nem a hírnév határozzák meg, ugyanolyan fontos ébernek maradni a kisebb, kevésbé ismert szolgáltatók esetében, mint figyelni a híreket a nagy márkák elleni támadásokról. Annak tudatában lenni, hogyan születnek ezek a döntések, az egyik legegyszerűbb módja annak, hogy megelőzzük a kockázatot.
