Ransomware Pemerasan Ganda: Mengapa Cadangan Saja Tidak Cukup

Apa yang Sebenarnya Dicuri oleh Ransomware Pemerasan Ganda

Selama bertahun-tahun, saran standar untuk bertahan dari serangan ransomware sederhana: simpan cadangan yang baik, dan Anda dapat memulihkan sistem tanpa membayar. Saran itu tidak lagi cukup. Geng ransomware modern tidak lagi hanya mengenkripsi data Anda, mereka juga mengeksfiltrasi (mencuri) data tersebut terlebih dahulu. Ini dikenal sebagai pemerasan ganda, dan ini secara fundamental mengubah perhitungan bagi korban dan para pembela.

Beginilah cara kerjanya. Sebelum penyerang memicu enkripsi yang mengunci Anda dari file Anda, mereka diam-diam menyalin data sensitif dari jaringan Anda: catatan pelanggan, dokumen keuangan, informasi karyawan, kekayaan intelektual, apa pun yang bisa mereka temukan. Hanya setelah data itu disedot keluar, serangan yang terlihat dimulai. Ini berarti pada saat Anda melihat catatan tebusan atau file terkunci, pencurian sudah terjadi. Memulihkan dari cadangan memperbaiki masalah enkripsi, tetapi tidak melakukan apa pun untuk menghentikan penyerang mengancam akan membocorkan atau menjual data yang dicuri.

Pergeseran itu penting karena mengubah setiap insiden ransomware menjadi potensi pelanggaran data, terlepas dari apakah Anda memiliki cadangan yang masih utuh tersimpan di suatu tempat. Perlindungan ransomware pemerasan ganda, oleh karena itu, harus dimulai jauh sebelum penyerang mendekati kunci enkripsi Anda.

Mengapa Membayar Tebusan Tidak Menjamin Data Anda Kembali

Satu hal yang perlu diulang bagi organisasi mana pun yang mempertimbangkan pilihannya selama serangan: tidak ada kontrak hukum yang mengikat geng ransomware untuk menghapus data yang dicuri setelah pembayaran. Ini adalah perusahaan kriminal yang beroperasi di luar perjanjian apa pun yang dapat ditegakkan. Membayar tidak mewajibkan mereka untuk menghancurkan salinan file Anda, dan tidak menghentikan mereka untuk menjual kembali data ke penjahat lain atau membocorkannya nanti.

Rekam jejak bisnis yang membayar juga tidak meyakinkan. Bahkan setelah tebusan dibayar, tidak ada jaminan untuk mendapatkan kembali data yang dapat digunakan, dan tidak ada jaminan bahwa data yang sama tidak akan muncul lagi dalam upaya pemerasan di masa depan. Penyerang memiliki setiap insentif untuk menyimpan salinan sebagai alat tekan, karena korban yang pernah membayar untuk menghindari rasa malu atau paparan regulasi mungkin akan membayar lagi di bawah tekanan baru.

Dinamika ini semakin intensif seiring evolusi taktik pemerasan. Beberapa geng sekarang menggunakan alat otomatis untuk mempercepat dan mempersonalisasi kampanye tekanan terhadap korban, sebuah tren yang dibahas secara rinci di bagaimana geng ransomware sekarang menggunakan AI untuk menekan korban lebih keras. Kesimpulannya konsisten: pencegahan dan penahanan jauh lebih penting daripada berharap kelompok kriminal akan menghormati sisi mereka dari transaksi ilegal.

Segmentasi Jaringan dan Penggunaan VPN sebagai Pertahanan Lini Pertama

Karena pencurian data terjadi sebelum serangan yang terlihat, pertahanan yang paling efektif adalah yang membatasi apa yang dapat dijangkau oleh penyusup sejak awal, bukan hanya apa yang terjadi setelah ledakan.

Segmentasi jaringan adalah inti dari ini. Ketika setiap perangkat dan server berada dalam satu jaringan datar, penyerang yang membahayakan satu workstation sering dapat bergerak secara lateral untuk mencapai server file, sistem cadangan, dan database yang berisi catatan sensitif. Mengegmentasi jaringan menjadi zona terisolasi, memisahkan sistem keuangan dari akses karyawan umum, mengisolasi infrastruktur cadangan dari sistem produksi, dan membatasi akses administratif, berarti satu akun atau perangkat yang dibahayakan tidak membuka pintu ke semuanya sekaligus.

Akses jarak jauh yang aman sama pentingnya. Karyawan dan kontraktor yang terhubung dari luar kantor adalah titik masuk umum bagi penyerang, terutama ketika akses jarak jauh mengandalkan protokol yang terbuka atau autentikasi yang lemah. Menggunakan VPN yang dikonfigurasi dengan benar dengan autentikasi yang kuat, daripada membiarkan remote desktop atau port administratif dapat diakses langsung dari internet, menutup salah satu jalur yang paling sering dieksploitasi ke dalam jaringan. Digabungkan dengan autentikasi multi-faktor dan prinsip hak akses minimum (memberi pengguna dan sistem hanya akses yang benar-benar mereka butuhkan), langkah-langkah ini mengurangi jumlah data yang dapat diekspos oleh satu pelanggaran.

Hygiene data melengkapi pertahanan lini pertama ini. Organisasi yang tidak tahu data sensitif apa yang mereka simpan, di mana data itu berada, atau siapa yang dapat mengaksesnya tidak memiliki cara untuk membatasi apa yang dapat dicuri penyerang. Secara teratur mengaudit dan meminimalkan data sensitif yang disimpan, mengenkripsinya saat disimpan, dan menghapus yang tidak lagi diperlukan akan mengecilkan target bahkan jika penyerang berhasil masuk.

Membangun Rencana Respons Insiden Sebelum Anda Diserang

Bahkan langkah-langkah pencegahan yang kuat dapat gagal melawan penyerang yang gigih, itulah sebabnya rencana respons insiden perlu ada sebelum, bukan selama, krisis. Rencana yang dibangun di tengah serangan aktif, di bawah tekanan dan dengan hitungan mundur dari penyerang, jauh lebih mungkin menyebabkan kesalahan yang mahal.

Rencana yang efektif mengidentifikasi siapa yang memiliki wewenang untuk membuat keputusan, termasuk apakah akan melibatkan penegak hukum atau spesialis respons insiden eksternal, sebelum situasi meningkat. Ini mendefinisikan bagaimana sistem diisolasi untuk menghentikan pergerakan lateral pada saat aktivitas mencurigakan terdeteksi, dan menetapkan protokol komunikasi sehingga tim hukum, teknis, dan eksekutif tidak bekerja dari informasi yang berbeda. Ini juga memperhitungkan realitas pemerasan ganda secara spesifik: karena data mungkin sudah dicuri bahkan jika enkripsi tertangkap lebih awal, rencana harus mencakup langkah-langkah untuk menilai data apa yang mungkin telah terekspos dan memberi tahu pihak yang terkena dampak sebagaimana diwajibkan oleh hukum.

Apa Artinya Ini Bagi Anda

Bagi sebagian besar organisasi, pergeseran praktisnya adalah ini: pertahanan ransomware tidak dapat lagi diperlakukan murni sebagai masalah cadangan dan pemulihan. Pemerasan ganda berarti kerusakan sering terjadi sebelum Anda tahu serangan sedang berlangsung. Itu membuat kontrol akses, segmentasi, dan koneksi jarak jauh yang aman sama pentingnya dengan perencanaan pemulihan. Jika organisasi atau pengaturan pribadi Anda mengandalkan akses jarak jauh ke sistem sensitif, menggunakan VPN terkemuka dengan autentikasi yang kuat adalah langkah fundamental, bukan tambahan opsional. Penyerang juga semakin canggih dalam cara mereka menekan korban setelah pelanggaran, yang perlu dipahami dengan sendirinya.

Kesimpulan yang Dapat Ditindaklanjuti

• Anggap setiap insiden ransomware mungkin juga merupakan pelanggaran data, dan rencanakan respons Anda sesuai dengan itu, bukan hanya seputar memulihkan file.
• Segmentasikan jaringan Anda sehingga satu perangkat atau akun yang dibahayakan tidak dapat menjangkau semuanya, terutama sistem cadangan.
• Wajibkan akses VPN dengan autentikasi multi-faktor untuk setiap koneksi jarak jauh ke sistem internal, dan hindari mengekspos protokol akses jarak jauh langsung ke internet.
• Audit data sensitif apa yang sebenarnya Anda simpan dan di mana, dan hapus atau enkripsi yang tidak Anda butuhkan.
• Bangun dan latih rencana respons insiden sekarang, termasuk wewenang pengambilan keputusan dan langkah komunikasi, sehingga Anda tidak berimprovisasi selama serangan aktif.
• Jangan anggap pembayaran tebusan sebagai jalur pemulihan yang andal. Tidak ada kontrak yang memaksa penyerang untuk menghapus data yang dicuri atau memberikan dekripsi yang berfungsi, dan membayar tidak menjamin data Anda tidak akan muncul kembali nanti.