Ransomware Tidak Lagi Sekadar Tentang Enkripsi

Selama bertahun-tahun, saran standar untuk melawan ransomware berpusat pada satu hal: cadangkan data Anda sehingga Anda tidak perlu membayar tebusan. Saran itu masih relevan, tetapi menurut analisis terbaru dari perusahaan pelatihan kesadaran keamanan KnowBe4, saran itu tidak lagi mencakup gambaran lengkap tentang cara kerja operasi ransomware modern.

Ransomware telah berevolusi menjadi apa yang digambarkan KnowBe4 sebagai model gangguan bisnis, yang dibangun lebih sedikit pada malware brute-force dan lebih banyak pada identitas curian dan rekayasa sosial. Alih-alih sekadar mengunci file dan menuntut pembayaran untuk kunci dekripsi, para penyerang semakin fokus untuk masuk ke dalam organisasi menggunakan kredensial curian yang sah, lalu menggunakan akses tepercaya tersebut untuk menyebabkan kerusakan operasional maksimal sebelum ada yang menyadarinya.

Pergeseran ini penting bagi privasi sama seperti penting bagi keamanan TI. Ketika kelompok ransomware mencuri identitas untuk masuk, data pribadi yang terkait dengan identitas tersebut, login karyawan, catatan pelanggan, komunikasi internal, menjadi bagian dari permukaan serangan. Insiden ransomware saat ini jarang hanya sekadar peristiwa enkripsi; sering kali juga merupakan peristiwa paparan data.

Mengapa Identitas Curian Menjadi Titik Masuk Baru

Gambaran tradisional serangan ransomware melibatkan lampiran email berbahaya atau server yang rentan dan belum ditambal. Vektor-vektor tersebut belum hilang, tetapi semakin dilengkapi, atau digantikan, oleh taktik yang lebih sederhana: phishing untuk mencuri kredensial, menipu help desk agar mereset kata sandi, atau mengeksploitasi pengaturan multi-factor authentication yang lemah untuk mendapatkan akses sebagai pengguna tepercaya.

Setelah masuk, penyerang tidak perlu "meretas" apa pun dalam pengertian tradisional. Mereka masuk seperti karyawan lain, bergerak melalui jaringan secara diam-diam, dan mengidentifikasi sistem serta data yang gangguannya akan menyebabkan dampak paling menyakitkan, dan karena itu memberikan daya tawar paling besar untuk permintaan tebusan. Inilah yang dimaksud KnowBe4 dengan menggambarkan ransomware sebagai model gangguan bisnis: tujuannya bukan hanya mengenkripsi data, tetapi membuat operasi organisasi berhenti total hingga pembayaran dilakukan.

Pendekatan ini menggema apa yang telah diamati dalam ekosistem ransomware-as-a-service secara lebih luas. Kelompok seperti operasi yang dirinci dalam liputan kami tentang LockBit 5.0 dan kehidupan setelah Operasi Cronos menunjukkan bagaimana afiliasi ransomware telah memprofesionalkan operasi mereka, memperlakukan setiap serangan lebih seperti negosiasi bisnis yang diperhitungkan daripada pencurian kilat, lengkap dengan taktik tekanan dan ancaman reputasi.

Memikirkan Ulang Pertahanan Ransomware untuk Ancaman yang Berfokus pada Identitas

Jika pencurian identitas dan rekayasa sosial kini menjadi cara utama ransomware mendapatkan pijakan, maka pertahanan yang dibangun hanya seputar keamanan perimeter jaringan dan alat antivirus hanya menangani masalah masa lalu. Kerangka pemikiran KnowBe4 menunjukkan bahwa organisasi perlu memperlakukan verifikasi identitas dan perilaku manusia sebagai bagian inti dari pertahanan ransomware, bukan sekadar pemikiran tambahan.

Dalam praktiknya, ini berarti proses verifikasi identitas yang lebih kuat untuk reset kata sandi dan pemulihan akun, multi-factor authentication yang tahan phishing daripada kode SMS yang mudah dilewati, dan pelatihan karyawan berkelanjutan yang memperlakukan rekayasa sosial sebagai ancaman aktif yang terus berkembang, bukan sekadar latihan kepatuhan satu kali. Cadangan dan segmentasi jaringan tetap penting, tetapi kini menjadi lini pertahanan kedua, bukan yang pertama.

Tingkat risiko seputar pergeseran ini juga menarik perhatian di tingkat kebijakan. Seperti yang telah kami laporkan, pemerintah mempertimbangkan larangan pembayaran tebusan ransomware di tengah serangan yang digerakkan AI, sebuah tanda bahwa regulator menyadari model pertahanan saat ini, bayar agar masalah hilang, tidak berkelanjutan ketika serangan menjadi lebih cepat dan lebih meyakinkan.

Apa Artinya Ini Bagi Anda

Baik Anda seorang pengambil keputusan TI atau sekadar seseorang yang majikannya menyimpan data pribadi Anda, evolusi taktik ransomware ini memiliki konsekuensi nyata. Jika penyerang masuk dengan mencuri identitas daripada mengeksploitasi kelemahan perangkat lunak, maka keamanan kredensial login Anda sendiri, dan seberapa hati-hati organisasi Anda memverifikasi identitas sebelum memberikan akses, secara langsung memengaruhi seberapa rentan organisasi tersebut terhadap gangguan yang mahal.

Bagi individu, ini menegaskan poin yang sudah akrab tetapi semakin mendesak: kata sandi yang digunakan ulang, MFA yang lemah, dan tanggapan santai terhadap permintaan reset kata sandi yang tidak terduga bukan hanya risiko pribadi, itu adalah titik masuk potensial untuk serangan yang dapat berdampak luas memengaruhi data ribuan orang. Bagi bisnis, ini berarti pertahanan ransomware perlu dipahami sebagai masalah identitas dan perilaku manusia sama seperti masalah teknis.

Ikhtisar Tindakan yang Dapat Diambil

  • Aktifkan multi-factor authentication yang tahan phishing di mana pun memungkinkan, dan hindari hanya mengandalkan kode berbasis SMS.
  • Waspadai permintaan reset kata sandi atau verifikasi akun yang tidak terduga, bahkan yang tampaknya berasal dari help desk internal.
  • Organisasi harus mengaudit cara kerja verifikasi identitas untuk pemulihan akun, karena ini adalah titik masuk ransomware yang semakin umum.
  • Perlakukan pelatihan kesadaran keamanan rutin sebagai kebutuhan berkelanjutan, bukan sekadar centang satu kali, karena taktik rekayasa sosial berkembang dengan cepat.
  • Pertahankan cadangan offline yang telah diuji sebagai lini pertahanan kedua, dengan pemahaman bahwa menghentikan intrusi berbasis identitas sama pentingnya dengan memulihkan dari enkripsi.

Evolusi ransomware menjadi model gangguan bisnis yang digerakkan oleh identitas tidak berarti pertarungan ini tidak bisa dimenangkan. Itu berarti pertarungan telah berpindah. Pertahanan yang dulunya berfokus secara sempit pada malware dan cadangan kini perlu memperhitungkan betapa mudahnya identitas curian dapat membuka pintu ke seluruh jaringan, dan itu dimulai dengan memperlakukan keamanan identitas sebagai bagian yang tidak terpisahkan dari pertahanan ransomware itu sendiri.