Proofpoint: Betaling til løsepengegjenger inviterer til gjentatte angrep

Hvorfor betaling av løsepenger ikke avslutter problemet

Når løsepengevirus låser en bedrifts systemer, er instinktet å betale og gå videre forståelig. En ny undersøkelse fra sikkerhetsselskapet Proofpoint, som omfatter 953 selskaper, tyder på at dette instinktet kan slå tilbake. Ifølge funnene blir organisasjoner som betaler et løsepengekrav ofte mer attraktive mål, ikke mindre. Når en kriminell gruppe først har bekreftet at et offer er villig til å betale, kan det samme offeret bli merket for et oppfølgingsangrep.

Dette er viktig fordi logikken bak løsepengebetalinger alltid har hvilt på en enkel handel: penger for avslutning. Ledere godkjenner betalinger i den tro at det gjenoppretter systemer, får slettet stjålne data, begrenser driftsavbrudd og beskytter kunder. Proofpoints forskning indikerer at denne handelen er langt mindre pålitelig enn de fleste organisasjoner antar. Å betale avslutter ikke nødvendigvis forholdet til angriperen; i noen tilfeller starter det et nytt.

Forretningslogikken bak et nytt krav

Løsepengegrupper opererer som bedrifter, og bedrifter ser etter gjengangere. Et selskap som allerede har vist at det vil betale, er fra en kriminells perspektiv en bevist inntektskilde. Det har arbeidskapital, en ledergruppe som er villig til å godkjenne betaling raskt, og antakeligvis fortsatt de samme sårbarhetene som gjorde at det første angrepet lyktes i utgangspunktet.

Det siste punktet er kritisk. Å betale løsepenger håndterer den umiddelbare krisen, men fikser sjelden de underliggende sikkerhetshullene som slapp angriperne inn. Hvis den samme phishing-kanalen, den uoppdaterte programvaren eller den eksponerte eksterne påloggingspunktet fortsatt er der etter hendelsen, er det ingenting som hindrer den samme gruppen – eller en tilknyttet aktør som kjøpte tilgang til de samme offerdataene – i å prøve igjen. Vår tidligere dekning av Proofpoints forskning om løsepengebetalere går dypere inn i hvor hyppig slike gjentatte hendelser oppstår og hvorfor selve betalingen kan fungere som et signal til andre kriminelle grupper om at et mål er svakt.

Redusere utpressingsrisiko før det starter

Den gode nyheten er at organisasjoner ikke er maktesløse her. Tiltakene som reduserer løsepengevirusrisiko er i stor grad de samme som sikkerhetsteam har anbefalt i årevis – de bare får en større tidsklemme i lys av disse dataene.

Å opprettholde frakoblede, testede sikkerhetskopier forblir den mest effektive enkeltmåten for å unngå å måtte ta stilling til om man skal betale eller ikke i det hele tatt. Hvis systemer kan gjenopprettes fra sikkerhetskopier uten å bruke angriperens dekrypteringsnøkkel, kollapser hele utpressingspremisset. Nettverkssegmentering er også viktig: Ved å begrense hvor langt en angriper kan bevege seg når han først er inne, reduseres skadeomfanget av ethvert enkeltinntrenging, noe som igjen reduserer angriperens forhandlingsmakt i en løsepengeforhandling.

Kontinuerlig trusselovervåking og endepunktsdeteksjon bidrar til å fange innbrudd før de eskalerer til full krypteringshendelse. Mange løsepengeangrep utspiller seg over dager eller uker mellom første tilgang og den endelige lasten; det vinduet er en mulighet til å gripe inn. Sikker praksis for ekstern tilgang, inkludert bruk av en VPN for krypterte forbindelser og flerfaktorautentisering for alle som logger inn utenfra bedriftsnettverket, lukker en av de vanligste inngangsportene kriminelle utnytter. Ingen av disse tiltakene garanterer immunitet, men sammen reduserer de sjansen for at en bedrift ender opp med å stå overfor et løsepengekrav i det hele tatt.

Hva dette betyr for deg

Hvis organisasjonen din noen gang rammes av løsepengevirus, tyder Proofpoint-funnene på at betaling ikke bør behandles som en ren løsning. Før man godkjenner en betaling, er det verdt å spørre om den underliggende sårbarheten er identifisert og lukket, for hvis den ikke er det, kan betalingen rett og slett være den første avbetalingen i et vedvarende forhold til angriperen.

Dette er også et tidspunkt for å involvere politiet tidlig i stedet for som en ettertanke. Etterretningsorganer som sporer løsepengegrupper kan noen ganger tilby dekrypteringsverktøy, trusseletterretning om en bestemt bandes atferd eller kontekst om gruppen har en historikk med gjentatt utpressing. Å hente inn ekstern støtte til hendelseshåndtering før en betalingsbeslutning tas, heller enn i etterkant, gir en organisasjon et klarere bilde av sine faktiske alternativer.

For mindre virksomheter uten dedikerte sikkerhetsteam er regnestykket likt, men ressursene færre. Det gjør forebygging enda viktigere: grunnleggende hygiene som regelmessige sikkerhetskopier, oppdatert programvare og sikre verktøy for ekstern tilgang gjør mer for å redusere risiko enn noen beslutning etter en hendelse noen gang kan.

Hovedpunkter

Den grunnleggende lærdommen fra denne Proofpoint-undersøkelsen er enkel: en løsepengebetaling kjøper tid, ikke nødvendigvis sikkerhet. Organisasjoner bør behandle enhver løsepengehendelse som bevis på et sikkerhetshull som må tettes, uavhengig av om en betaling foretas. Praktiske grep som bør prioriteres inkluderer å opprettholde frakoblede sikkerhetskopier, segmentere nettverk, overvåke for tidlige tegn på inntrenging og sikre ekstern tilgang med sterk autentisering og krypterte forbindelser.

Viktigst av alt bør enhver betalingsbeslutning tas parallelt med en seriøs utbedringsplan, ikke i stedet for en. Løsepengegjenger driver forretning, og dataene tyder på at de vet nøyaktig hvilke kunder det er verdt å fakturere to ganger.