Proofpoint: 1 av 3 løsepengebetalere blir rammet igjen

Hva Proofpoints studie fant om gjentatte angrep

En ny studie fra cybersikkerhetsselskapet Proofpoint gir en nøktern realitetsorientering til organisasjoner som behandler løsepengebetalinger som en rask løsning. Ifølge forskningen ble over en tredjedel av selskapene som betalte et løsepengekrav senere utsatt for et nytt utpressingsforsøk. Med andre ord, å skrive sjekken lukker ikke boken om en hendelse; for en betydelig andel av ofrene åpner det bare et nytt kapittel.

Dette funnet er viktig fordi det utfordrer en vanlig antagelse i styrerom under en krise: at å betale angriperne er den raskeste måten å få problemet til å forsvinne på. Proofpoints data antyder det motsatte. Når et selskap viser at det er villig til å betale, kan det bli et gjentagende mål, enten for den opprinnelige angriperen eller for en annen gruppe som har fått vite at organisasjonen er lett å presse penger fra.

Hvorfor betaling av løsepenger ikke garanterer datasikkerhet

Hovedproblemet som fremheves av Proofpoint er at løsepengeforhandlinger er basert på tillit til kriminelle som ikke har noen bindende forpliktelse til å overholde sin del av avtalen. Å betale for å låse opp krypterte filer garanterer ikke at stjålne data ikke allerede er kopiert andre steder, og det forhindrer heller ikke angripere fra å videreselge tilgangslegitimasjon, nettverkskart eller eksfiltrerte filer til andre kriminelle grupper.

Dette er mekanismen bak den gjentatte utpressingssyklusen studien beskriver. Moderne løsepengeangrepoperasjoner er i økende grad avhengige av dobbel utpressing, der de krypterer systemer samtidig som de stjeler sensitive data før de krever betaling. Selv om en dekrypteringsnøkkel leveres som lovet, forblir de stjålne dataene i seg selv en belastning. De kan brukes til en ny utpressing, selges på kriminelle markedsplasser eller utnyttes av en helt annen trusselaktør som kjøper tilgang fra den opprinnelige angriperen. Betalingen løser det umiddelbare avbruddet, men gjør ingenting for å håndtere den underliggende eksponeringen av organisasjonens data.

Den økende trusselen mot små og mellomstore bedrifter

Mens store virksomheter historisk har dominert overskrifter om løsepengeangrep, er mindre og mellomstore bedrifter i økende grad i skuddlinjen, ofte fordi de har færre ressurser til å investere i oppdagelse, respons og gjenoppretting. Disse organisasjonene kan være spesielt sårbare for det gjentatte utpressingsmønsteret Proofpoint beskriver, siden en enkelt vellykket betaling kan merke dem som både villige og i stand til å betale igjen.

Denne dynamikken utspiller seg allerede med løsepenge-som-en-tjeneste-operasjoner som spesifikt retter seg mot mindre organisasjoner. Som detaljert i dekningen av Qilin og The Gentlemen løsepengegjenger trapper opp angrep mot SMB-er, konkurrerer disse gruppene om dominans ved å fokusere på virksomheter som kanskje mangler forhandlingserfaring, juridisk rådgivning eller hendelsesresponsinfrastruktur som større selskaper kan stille med. Når et mindre selskap betaler én gang, har det kanskje ikke ressurser til å grunnleggende endre sikkerhetsposisjonen sin etterpå, noe som etterlater de samme sårbarhetene åpne for neste forsøk.

Reduser risikoen: Sikkerhetskopier, kryptering og hendelsesplanlegging

Proofpoints funn forsterker et budskap som sikkerhetseksperter har gjentatt i årevis: forebygging og forberedelse betyr mer enn forhandling. Noen praktiske grep kan meningsfullt redusere både sannsynligheten for et angrep og skaden hvis et skulle skje.

For det første, sørg for å ha offline eller uforanderlige sikkerhetskopier som testes regelmessig. En løsepengebetaling blir ofte det eneste alternativet når sikkerhetskopier mangler, er utdaterte eller selv blir kryptert under angrepet. For det andre, krypter sensitive data i hvile og under overføring, slik at selv om angripere eksfiltrerer filer, har de stjålne dataene begrenset verdi. For det tredje, lag en hendelsesresponsplan før et angrep skjer, ikke under ett. Denne planen bør inkludere klare roller, kommunikasjonsprotokoller og forhåndsgodkjente juridiske og digitale etterforskningskontakter, slik at beslutninger ikke tas under panikk og tidspress.

Organisasjoner bør også anta at alle data som er berørt av et inntrenging til slutt kan komme offentlig frem eller bli videresolgt, uavhengig av om løsepenger betales. Å planlegge for denne muligheten, gjennom prosedyrer for kundevarsling, tilbud om kredittovervåking og juridisk gjennomgang, er langt mer pålitelig enn å håpe at en kriminell gruppe vil slette stjålne filer etter betaling.

Hva dette betyr for deg

Hvis organisasjonen din noen gang står overfor et løsepengekrav, antyder Proofpoints forskning at beslutningen om å betale ikke bør behandles som en garantert løsning. Risikoen for gjentatt utpressing ved betaling av løsepenger er reell og dokumentert: betaling kan merke deg som et mål i stedet for å avslutte hendelsen. Enten du driver en liten bedrift eller administrerer sikkerhet for et større selskap, er den tryggeste antagelsen at ethvert løsepengeangrep kanskje ikke er en engangshendelse med mindre du adresserer de underliggende årsakene som tillot inntrengingen i utgangspunktet.

Viktige punkter

• Ikke anta at betaling avslutter trusselen. Proofpoint fant at over en tredjedel av betalende ofre opplever et nytt utpressingsforsøk.
• Prioriter uforanderlige, testede sikkerhetskopier slik at betaling aldri er den eneste veien til gjenoppretting.
• Krypter sensitive data for å begrense skaden ved eksfiltrering, selv om systemer kompromitteres.
• Lag og øv på en hendelsesresponsplan før et angrep, ikke under ett.
• Erkjenn at mindre bedrifter i økende grad angripes av grupper som Qilin og The Gentlemen, noe som gjør proaktivt forsvar avgjørende uavhengig av bedriftsstørrelse.