ランサムウェアの二重恐喝をわかりやすく解説します。攻撃者はもはやファイルを暗号化するだけでなく、まずデータを窃取し、それを leverage（圧力）として利用します。最近のHIPAA Journalの報告によると、ランサムウェアグループはさらに一歩進んで、被害者に要求を飲ませるために現実世界の脅威に訴えるようになっています。企業のデータベースに個人情報が保管されている人にとって、この変化は重要です。
ランサムウェアの二重恐喝を解説：戦術はいかにエスカレートしたか
ランサムウェアの歴史は絶え間ない適応の歴史です。当初は、被害者のファイルを暗号化するだけで支払いを強いるのに十分でした。病院、学校、企業が自社のデータを開けなくなれば、支払う強い理由がありました。
その後、被害者はサイバーレジリエンス（ cyber resilience）を向上させました。多くの組織がバックアップを保管するようになり、攻撃者に屈することなく暗号化されたファイルを復元できることに気づきました。暗号化だけでは信頼できる収入源ではなくなったため、犯罪者はアプローチを変えました。
次の段階はデータ窃取でした。ランサムウェアグループは、何かを暗号化する前に被害者のネットワークから機密ファイルをコピーし始めました。そして、その窃取した情報を販売または漏洩すると脅迫しました。これが二重恐喝モデルです。一方の脅威はロックされたシステムであり、もう一方はデータの暴露です。優れたバックアップは最初の問題を解決しますが、二つ目には何の効果もありません。
最新の報告書はさらなるエスカレートを描写しており、グループは圧力を加える方法として現実世界の脅威に転じています。入手可能な記事の抜粋はすべての戦術を詳述しているわけではないため、具体的な内容については元の報道を読む価値があります。しかし、全体的な方向性は明らかです。防御側がある経路を塞ぐたびに、攻撃者は新たな leverage（圧力）の源を探すのです。
身代金を支払ってもデータは守られない理由
企業が支払えば問題が消えると考えるのは魅力的です。しかし実際には、その仮定は単純な理由で脆いものです。犯罪者があなたのデータをコピーした時点で、あなたはそれを削除するという彼らの言葉だけを完全に信頼しているのです。彼らはそれを手に入れるためにすでに法律を破った人々です。
構造的な問題もあります。データ窃取とは、情報が建物の外に出たことを意味します。システムが復元され、支払いが行われたとしても、組織はコピーがどうなるかを独立して検証することはできません。そのデータに名前、住所、健康情報、財務記録が含まれていた個人にとって、リスクは企業が交渉したかどうかに依存しません。
これがこの戦術が非常に効果的な理由です。バックアップは暗号化の問題を解決しましたが、データの窃取を取り消すことはできません。暴露に基づく恐喝は機能し続けます。なぜなら、身代金が支払われるかどうかに関わらず、人々への害は現実だからです。
現実世界の脅威が一般の人々にとって意味するもの
ほとんどの人はランサムウェアグループと交渉することはありません。彼らは通常、データを人質にされている側です。犯罪者がデジタルの領域を超えた圧力を加えるとき、最も影響を受けるのは、窃取されたファイルに詳細が含まれている顧客、患者、従業員であることが多いです。
これにはいくつかの実際的な結果があります：
- あなたのデータの安全は他人のセキュリティに依存します。 企業のサーバーにパッチを当てることはできませんが、彼らがどれだけの情報を保持するかを決めることはできます。
- 主張が常に確認された侵害と等しいわけではありません。 ギャングは圧力をかけるために攻撃を公表することがよくあります。例えば、あるグループはMarlborough Partnersへの侵害を公に主張しましたが、私たちのAnubisランサムウェア主張の報道の時点では、その主張の背後に確認された証拠はありませんでした。同様に、Kingston TechnologyはEverestグループが主張した後に調査していると述べました。これは私たちのKingston Technology調査に関する報告で取り上げました。
- 恐喝は一つのセクターに限定されません。 Stadler Rail恐喝とロシアのZimbraスパイ活動の記事のまとめは、これらの圧力キャンペーンが業界を問わず現れることを改めて思い起こさせます。
共通する糸は、問題について事後に、通知書やニュース記事から知ることが多いということです。その時点で、データはすでにあなたの手を離れています。
侵害前に露出を減らす方法
あなたが取引している企業をランサムウェアグループが標的にするのを止めることはできませんが、それが起こった場合の被害を限定することはできます。これらのステップは、あなたがコントロールできることに焦点を当てています。
- 共有を減らす。 サービスには本当に必要な情報だけを提供してください。フォームが生年月日、電話番号、または必須でないIDを求めている場合は、省略するか必要最小限を使用することを検討してください。収集されなかったデータは窃取されません。
- 使わなくなったものを削除する。 古いアカウントを閉鎖し、可能な場合は削除を要求してください。休眠アカウントは依然として誰かのサーバー上にあるデータです。
- 自分のファイルのオフラインバックアップを保持する。 バックアップはデータ窃取を止めませんが、自分のデバイス上の元のランサムウェア問題からあなたを守ります。少なくとも1つのコピーをネットワークから切り離して保持してください。
- ユニークなパスワードと多要素認証を使用する。 侵害が認証情報を暴露した場合、ユニークなパスワードは1つの漏洩が他のアカウントのロックを解除するのを防ぎます。
- 侵害通知に注意する。 企業からの手紙やメールを注意深く読み、個人情報に言及する予期しないメッセージに注意してください。窃取されたデータは説得力のある詐欺を助長する可能性があるためです。
- 脅威に懐疑的である。 データが窃取され、支払いを要求するメッセージを受け取った場合は、応答する前に公式チャネルを通じて確認してください。メッセージ自体のリンクをクリックしたり、番号に電話したりしないでください。
これがあなたにとって意味すること
重要な教訓は、身代金の支払いはプライバシー戦略ではなく、企業が優れたバックアップを持っていることを望むことも同様だということです。二重恐喝はリスクをロックされたシステムから暴露されたデータに移し、現実世界の脅威への動きは、犯罪者が圧力をかける新しい方法を探し続けることを示しています。最善の防御は、他人のシステムに存在するあなたに関する機密情報の量を減らし、侵害を通知された場合に迅速に行動する準備をすることです。
要点
ランサムウェアの二重恐喝を平易な言葉で解説した内容を理解することは、これらの攻撃がなぜ成功し続けるかを理解するのに役立ちます。脅威はもはやダウンタイムだけではなく、暴露についてです。提供する個人データを制限し、自分にとって重要なもののオフラインバックアップを保持し、侵害通知に細心の注意を払ってください。これらの戦術が実際にどのように展開されるかを知るには、上記でリンクしたAnubisとEverestの記事から始まる、最近のランサムウェア主張に関する継続的な報道をフォローしてください。
