Hva de nye tallene om gjentatt ransomware-utpressing viser

Nye tall rapportert av Connor Jones på DataBreaches.Net bekrefter det sikkerhetsforskere har mistenkt i årevis: å betale en ransomware-gjenge avslutter ikke prøvelsen, det markerer ofte bare starten på runde to. Ifølge undersøkelsesdata som siteres sammen med rapporten, valgte 58 prosent av berørte britiske organisasjoner å betale et løsepengekrav i fjor. Av dem som betalte, ble 22 prosent angrepet på nytt av den samme eller en annen kriminell gruppe som krevde en ny betaling.

Det betyr at omtrent én av fem organisasjoner som tok den vanskelige beslutningen om å betale, ikke fikk noe varig igjen for pengene. Utpressingssyklusen startet bare på nytt, noen ganger i løpet av få uker. Dette mønsteret med gjentatte ransomware-utpressingsbetalinger er i ferd med å bli et definerende trekk ved dagens trussellandskap, og det tvinger sikkerhetsteam og ledere til å revurdere hele regnestykket rundt hvorvidt betaling noen gang er et rasjonelt svar.

Hvorfor én betaling inviterer til et nytt angrep

Logikken bak gjentatt utpressing er enkel sett fra et kriminelt perspektiv. Når en organisasjon viser at den er villig til å betale, blir den et merket mål. Ransomware-operatører fører oversikt over hvilke ofre som ga etter, hvor raskt de betalte, og hvor mye de var villige til å gi fra seg. Den informasjonen sirkulerer ofte i tilknyttede nettverk og blir noen ganger solgt eller delt mellom kriminelle grupper som opererer under en ransomware-as-a-service-modell.

Et offer som betaler 500 000 dollar én gang, har i praksis signalisert at det både har kontantreserver og risikotoleranse til å betale igjen. Angriperne vet at en ny inntrengning, selv en mindre sofistikert en, har gode sjanser for å lykkes dersom de underliggende sårbarhetene som muliggjorde det første innbruddet aldri ble fullstendig utbedret. I mange tilfeller med dobbel og trippel utpressing blir stjålne data ikke engang slettet etter betaling, til tross for løfter om det motsatte, noe som åpner for et nytt krav basert på trusselen om å offentliggjøre den samme stjålne informasjonen.

Det er nettopp derfor politimyndigheter, inkludert FBI, konsekvent har frarådet å betale løsepenger. Betaling garanterer ikke datagjenoppretting, garanterer ikke sletting av stjålne filer, og, som disse nye tallene viser, garanterer ikke at angriperne holder seg unna.

Proaktive forsvar som reduserer ransomware-risikoen

Hvis betaling ikke løser problemet pålitelig, er den mer bærekraftige veien å redusere sjansene for et vellykket innbrudd i utgangspunktet. Flere forsvarslag går igjen i funn fra hendelsesrespons som forskjellen mellom en begrenset hendelse og en katastrofal en.

Nettverkssegmentering begrenser hvor langt en angriper kan bevege seg etter å ha fått et første fotfeste. I stedet for ett flatt nettverk der én kompromittert pålogging gir tilgang til alt, tvinger segmenterte miljøer angriperne til å kjempe for hver eneste ekstra meter, noe som kjøper forsvarerne tid til å oppdage og reagere.

Nulltillits-tilgangskontroll forutsetter at ingen bruker eller enhet automatisk er pålitelig, selv innenfor bedriftens perimeter. Hver forespørsel om tilgang verifiseres, noe som gjør det langt vanskeligere for stjålne påloggingsdetaljer alene å låse opp kritiske systemer.

Pålitelige, testede og frakoblede sikkerhetskopier forblir et av de mest effektive ransomware-forsvarene som finnes. Krypterte filer slutter å være et pressmiddel når en organisasjon kan gjenopprette driften fra rene sikkerhetskopier uten å forhandle med noen. Stikkordet er testet: sikkerhetskopier som ikke har blitt verifisert gjennom faktiske gjenopprettingsøvelser, svikter ofte akkurat når de trengs mest.

Flerfaktorautentisering, rettidig oppdatering av internetteksponerte systemer og kontinuerlig overvåking for uvanlig lateral bevegelse fullfører grunnmuren som skiller organisasjoner som kommer seg raskt, fra dem som ender opp med å møte et nytt utpressingskrav.

Hva organisasjoner bør gjøre i stedet for å betale

Når en ransomware-hendelse inntreffer, er instinktet om å betale raskt og få problemet til å forsvinne forståelig, spesielt under press fra kunder, tilsynsmyndigheter eller et styre som krever en rask løsning. Men tallene for gjentatt utpressing gjør det klart at betaling ikke er en pålitelig exitstrategi. Organisasjoner er bedre tjent med å involvere politiet tidlig, engasjere fagfolk innen hendelsesrespons som kan vurdere det faktiske omfanget av dataeksponering, og være åpne med berørte interessenter i stedet for å anta at en diskret betaling vil få saken til å forsvinne.

Hva dette betyr for deg

Enten du driver IT for en liten bedrift eller fører tilsyn med sikkerhetspolicyer i en større organisasjon, er disse tallene et tydelig signal om å omfordele prioriteringer. Penger øremerket til beredskapsfond for løsepenger er langt bedre brukt på segmenteringsprosjekter, utrulling av nulltillit og en backup-infrastruktur som testes jevnlig. Cyberforsikringer og beredskapsavtaler for hendelsesrespons bør også gjennomgås for å sikre at de legger vekt på forebygging og gjenopprettingsevne fremfor bare å dekke en utbetaling.

For enkeltpersoner er hovedpoenget tilsvarende i mindre skala: sterke, unike passord, flerfaktorautentisering og jevnlige sikkerhetskopier av personlige enheter og familieenheter reduserer sjansen for at en enkelt ransomware-infeksjon blir et gjentakende mareritt.

Konkrete tiltak

  • Behandle løsepengebetaling som en siste utvei, ikke en første reaksjonsplan; dataene viser at den ofte mislykkes i å avslutte trusselen.
  • Invester i nettverkssegmentering slik at én kompromittert konto ikke kan eksponere hele miljøet.
  • Innfør nulltillitsprinsipper for intern og ekstern tilgang, der hver forespørsel verifiseres i stedet for å stole på nettverksplassering alene.
  • Oppretthold frakoblede, jevnlig testede sikkerhetskopier slik at gjenoppretting ikke avhenger av forhandlinger med kriminelle.
  • Utarbeid en beredskapsplan for hendelser nå, før et angrep skjer, slik at beslutninger ikke tas under panikk og press.

Økningen i gjentatte ransomware-utpressingsbetalinger er et sterkt argument for å flytte ressurser bort fra reaktiv forhandling og over til proaktivt forsvar. Organisasjoner som foretar den omstillingen nå, vil stå langt bedre posisjonert enn dem som fortsatt håper at én enkelt betaling vil få problemet til å forsvinne.