Miért összpontosítanak ma a zsarolóvírus-támadások az adatlopásra, nem a titkosításra?

Éveken át a zsarolóvírusok standard forgatókönyve egyszerű volt: betörni, titkosítani a fájlokat, fizetséget követelni a visszafejtő kulcsért. A biztonsági mentések jelentették a választ. Rendszerek visszaállítása, a váltságdíjról szóló üzenet figyelmen kívül hagyása, továbblépés. Ez a forgatókönyv jórészt elavult.

A mai zsarolóvírus-csoportok alkalmazkodtak ahhoz a tényhez, hogy sok szervezet gond nélkül helyreáll a titkosításból. Így áthelyezték a nyomásgyakorlás eszközét. Mielőtt bármit is lezárnának, a támadók most csendben érzékeny fájlokat, pénzügyi nyilvántartásokat, alkalmazotti adatokat, ügyfélinformációkat másolnak ki a hálózatról. A titkosítás szinte másodlagossá vált, néha teljesen ki is hagyják. A valódi fenyegetést egy nyilvános kiszivárogtatási oldal jelenti, ahol az ellopott adatokat közzéteszik, ha nem fizetnek. Ez a zsarolóvírusos adatkizsarolási fenyegetés, amelyet a biztonsági kutatók szorosan nyomon követnek, és megváltoztatja azt, hogy mit jelent a „felkészültség” minden méretű szervezet számára.

A jelenség nem korlátozódik egyetlen régióra vagy iparágra. Az Indiában történt zsarolóvírus-incidensekről szóló beszámolók például azt találták, hogy a támadások többsége ma már adatlopással jár, nem pedig tiszta titkosítással – derül ki a Proofpoint elemzéséből az ottani zsarolóvírus-tevékenységről. Ugyanez a dinamika játszódik le közelebb a házunk táján is, beleértve a St. Louis-i agglomerációt.

Amit a St. Louis-i térségbeli esetekről tudni lehet

A CHR Solutions, egy St. Louis-i székhelyű IT- és kiberbiztonsági cég beszámolója szerint az elmúlt néhány hónapban iskolai rendszereket, városi hálózatokat és helyi vállalkozásokat értek zsarolóvírus-támadások az agglomerációban. A cég, amely közvetlenül dolgozik a régió szervezeteivel a biztonsági rések megszüntetésén, ezt helyi és visszatérő problémaként mutatja be, nem pedig távoli szalagcímként. Az egyes esetek konkrét részletei a rendelkezésre álló jelentésekben korlátozottak, de a leírt minta tükrözi az országos trendeket: a közszféra hálózatai és a kis- és középvállalkozások gyakori célpontok, gyakran azért, mert kevesebb dedikált biztonsági erőforrással rendelkeznek, mint a nagyvállalatok.

Az iskolai körzetek és önkormányzati hálózatok különösen vonzó célpontok a zsaroláson alapuló támadások számára. Nagy mennyiségű személyes adatot tárolnak, beleértve a diákokról, alkalmazottakról és lakosokról szóló nyilvántartásokat, és gyakran nyilvános nyomással szembesülnek a fennakadások elkerülése érdekében, ami valószínűbbé teheti a tárgyalásokat. Amikor a támadók tudják, hogy a nyomásgyakorlás eszköze nem csupán az, hogy „tud-e működni a fájljai nélkül”, hanem hogy „megengedheti-e magának, hogy ezek az adatok nyilvánosságra kerüljenek”, a fizetési kényszer jelentősen megnő.

Hogyan változtatja meg a kettős zsarolás a kalkulációt a kis- és középvállalkozások számára

A kettős zsarolás – a rendszerek titkosítása mellett az ellopott adatok kiszivárogtatásával való fenyegetés – alapvetően megváltoztatja a kockázati egyenletet a kisebb szervezetek számára. Egy olyan vállalkozás, amely szilárd, tesztelt biztonsági mentésekkel rendelkezett, korábban világos helyreállítási útvonallal rendelkezett: visszaállítás és újjáépítés. De a biztonsági mentések nem akadályozzák meg, hogy egy kiszivárogtatási oldal közzétegye az ügyfélszerződéseket, alkalmazotti társadalombiztosítási számokat vagy a vállalkozás saját tulajdonú adatait.

Ez óriási jelentőséggel bír a kis- és középvállalkozások számára, amelyek azt feltételezhetik, hogy a biztonsági mentések önmagukban elegendő védelmet nyújtanak a zsarolóvírusok ellen. Egy friss példa arra, hogyan játszódnak le ezek a kiszivárogtatási fenyegetések a gyakorlatban, a Play zsarolóvírus-csoport állítólagos támadása a Kreysler & Associates ellen, ahol a csoport a szokásos működési modelljét követte, és az ellopott adatok közzétételével fenyegetőzött, ahelyett, hogy kizárólag a titkosításra hagyatkoztak volna a fizetés kikényszerítésében. Az ilyen esetek jól szemléltetik, hogy a támadók alkupozíciója eltolódott a „lezártuk a rendszereit”-től a „nálunk vannak az adatai, és nyilvánosságra hozzuk őket” felé. Ez olyan hírnévbeli, jogi és szabályozási kockázat, amelyet a biztonsági mentésből való visszaállítás egyszerűen nem tud orvosolni.

A dedikált biztonsági csapatok nélküli kisebb szervezetek számára ez az elmozdulás azt jelenti, hogy az incidenskezelési tervezésnek számolnia kell az adatszivárgási forgatókönyvekkel, nemcsak a rendszerleállással.

Gyakorlati megerősítési lépések, amelyek kezelik a zsarolási kockázatot

A biztonsági mentések továbbra is alapvetőek, de önmagukban már nem elegendőek. Azoknak a szervezeteknek, amelyek komolyan gondolják a zsarolási kockázat csökkentését, néhány olyan területre kell összpontosítaniuk, amelyek túlmutatnak a hagyományos katasztrófa-helyreállításon:

  • Korlátozzák, mit lophatnak el a támadók. Csökkentsék az adatmegőrzést, ahol lehetséges, és szegmentálják a hálózatokat, hogy egyetlen feltört fiók ne biztosítson hozzáférést mindenhez.
  • Figyeljék az adatkiszivárogtatást, ne csak a titkosítást. Azok az észlelőeszközök, amelyek a szokatlan kimenő adatátvitelt jelzik, elkaphatnak egy támadást, mielőtt a fájlok elhagynák a hálózatot – ami gyakran korábban történik, mint amikor a titkosításra összpontosító monitorozás észlelné.
  • Erősítsék meg az azonosítási ellenőrzéseket. A többtényezős hitelesítés és a szorosan kezelt privilegizált fiókok továbbra is a leghatékonyabb akadályok között vannak a kezdeti hozzáféréssel szemben, amelyre a támadóknak szükségük van az adatok ellopásához.
  • Készítsenek olyan incidenskezelési tervet, amely foglalkozik a kiszivárogtatási fenyegetésekkel. A jogi, kommunikációs és szabályozói értesítési lépéseket még a támadás előtt térképezzék fel, ne közben.

Mit jelent ez az Ön számára

Ha az Ön szervezetének zsarolóvírus-terve még mindig elsősorban a biztonsági mentési és visszaállítási eljárásokra összpontosít, akkor a tegnapi fenyegetést célozza. A zsarolóvírusos adatkizsarolási fenyegetés azt jelenti, hogy a valódi kockázatot gyakran azok az adatok jelentik, amelyeket a támadók már átmásoltak, mielőtt Ön egyáltalán észlelt volna egy problémát. Ez vonatkozik akár iskolai körzetre, önkormányzati hivatalra, vagy ügyféladatokat kezelő kisvállalkozásra. Azt feltételezni, hogy túl kicsi ahhoz, hogy célpont legyen, már nem biztonságos fogadás; a kisebb szervezeteket gyakran éppen azért választják, mert kevesebb védelemmel rendelkeznek.

Főbb tanulságok

  • A zsarolóvírus-támadások egyre inkább az adatlopást és a kiszivárogtatási fenyegetéseket helyezik előtérbe a tiszta titkosítással szemben; ez a minta regionálisan és nemzetközileg egyaránt megfigyelhető.
  • A titkosításból való visszaállás biztonsági mentésekkel nem szünteti meg az ellopott adatok nyilvánosságra kerülésének kockázatát.
  • A kis- és középméretű szervezetek, beleértve az iskolákat és önkormányzati hálózatokat, továbbra is gyakori célpontok a korlátozott biztonsági erőforrások miatt.
  • A hatékony védekezés ma már megköveteli az adatkiszivárogtatás monitorozását, a hozzáférés-ellenőrzések szigorítását és az incidenskezelés megtervezését egy esetleges nyilvános kiszivárogtatás lehetőségére, nem csupán a rendszerleállásra.