Ransomwares virkelige profittmotor er ikke kryptering

I årevis har ransomware-forsvar fokusert på ett øyeblikk: det sekundet filer blir låst. Men nye funn dekket av The National CIO Review gjør det klart at kryptering ofte er den minst verdifulle delen av et ransomware-angrep for de kriminelle bak det. Den virkelige gevinsten kommer fra datatyveri, og den gevinsten stopper ikke når løsepengene betales eller systemene gjenopprettes.

Ifølge rapporten betalte 54 % av de berørte organisasjonene et løsepengekrav. Det er ikke overraskende i seg selv gitt hvor forstyrrende krypterte systemer kan være. Det som peker seg ut, er hva som skjedde videre: 37 % av dem som betalte, mottok senere et nytt krav fra den samme eller en annen angriper. Med andre ord, mer enn en tredjedel av ofrene som trodde de hadde avsluttet hendelsen, befant seg tilbake ved starten, og forhandlet igjen om de samme stjålne dataene.

Hvorfor stjålne data fortsetter å lønne seg for angripere

Når angripere først eksfiltrerer data før de distribuerer kryptering, får de flere separate inntektsstrømmer som ikke avhenger av at offerets systemer forblir låst. Rapporten skisserer flere av disse:

  • Trusler om offentliggjøring: Angripere truer med å lekke sensitive filer med mindre en ny betaling foretas, selv etter den opprinnelige løsepengen for dekrypteringsnøkler.
  • Videresalg av stjålne data: Informasjon selges på kriminelle markedsplasser til andre trusselaktører, uavhengig av om det opprinnelige offeret betalte noe.
  • Misbruk av påloggingsinformasjon: Brukernavn, passord og tilgangstokener funnet i stjålne filer gjenbrukes til å kompromittere andre kontoer eller systemer, noen ganger hos partnerorganisasjoner eller leverandører.
  • Oppfølgingsangrep: Detaljer samlet fra et innbrudd, som nettverksdiagrammer, leverandørkontrakter eller intern kommunikasjon, gjør fremtidige inntrengninger enklere og mer målrettede.

Dette er grunnen til at sikkerhetsforskere i økende grad beskriver moderne ransomware som et datatyveriproblem med kryptering tilknyttet, snarere enn omvendt. Kryptering forstyrrer driften i dager eller uker. Stjålne data kan våpenliggjøres i måneder eller år.

Et nylig eksempel på denne dynamikken som utspilte seg offentlig, involverte Tata Electronics-innbruddet som lekket iPhone 18 Pro-hemmeligheter, der en ransomware-gruppe som kalte seg World Leaks publiserte sensitiv, ikke-frigitt produktinformasjon etter å ha fått tilgang til interne systemer. Slike tilfeller illustrerer hvordan stjålne bedriftsdata beholder sin verdi for angripere lenge etter den opprinnelige inntrengningen, og hvordan trusler om offentliggjøring alene kan tvinge organisasjoner til vanskelige avgjørelser selv uten en fungerende krypteringsnyttelast.

Hvorfor betaling ikke garanterer at historien slutter

Tallet på 37 % gjentatte krav fortjener spesiell oppmerksomhet fordi det undergraver en vanlig antagelse: at betaling av løsepenger avslutter hendelsen. I virkeligheten, når data har forlatt organisasjonens nettverk, har offeret ingen mulighet til å verifisere at kopier er ødelagt, at angriperen ikke vil videreselge informasjonen, eller at en annen gruppe ikke allerede har skaffet seg de samme filene. Betaling håndterer krypteringsproblemet. Det gjør ingenting for å håndtere datatyveriproblemet, fordi disse dataene allerede er ute av offerets kontroll i det øyeblikket de eksfiltreres.

Dette har direkte implikasjoner for hvordan organisasjoner tenker på ransomware-beredskap. Planlegging av sikkerhetskopiering og gjenoppretting er viktig for å få systemer tilbake på nett, men det gjør ingenting for å forhindre en lekkasje, et videresalg eller et nytt utpressingsforsøk. Å forhindre eksfiltrering i utgangspunktet, gjennom nettverkssegmentering, strenge tilgangskontroller og ved å minimere hvor mye sensitive data som lagres eller er tilgjengelige i utgangspunktet, er like viktig som gjenopprettingsplanlegging.

Hva dette betyr for deg

Enten du administrerer IT for en liten bedrift eller bare beskytter dine egne kontoer, er lærdommen fra disse dataene den samme: anta at ethvert brudd som involverer informasjonen din kan resultere i vedvarende eksponering, ikke en enkelthendelse. Hvis et selskap du samhandler med, offentliggjør et ransomware-angrep, behandle det som en åpen risiko. Gjenbrukte passord, gamle kontolegitimasjoner og personlige detaljer knyttet til det bruddet kan dukke opp igjen i forsøk på «credential stuffing» eller påfølgende svindel lenge etter at overskriftene har bleknet.

For organisasjoner er hovedpoenget å behandle dataminimering og nettverkssegmentering som kjerneforsvar mot ransomware, ikke som ettertanker. Å begrense hvilke sensitive data som er tilgjengelige fra et enkelt kompromittert punkt, reduserer hvor mye angripere kan stjele selv om de kommer seg inn.

Praktiske råd

  • Bruk unike passord for hver konto og oppdater dem hvis du blir varslet om et brudd som involverer dataene dine, selv måneder senere.
  • Aktiver flerfaktorautentisering der det er mulig for å redusere verdien av stjålne påloggingsinformasjoner.
  • Hvis du driver en bedrift, revider hvilke sensitive data som lagres og hvem som har tilgang til dem; mindre eksponerte data betyr mindre pressmiddel for angripere.
  • Ikke anta at en ransomware-hendelse er over når en løsepenge er betalt eller systemene er gjenopprettet. Overvåk for tegn på lekkede data eller nye utpressingsforsøk.
  • Segmenter nettverk slik at en enkelt kompromittert enhet eller konto ikke kan eksponere hele datamiljøet ditt.

Ransomwares største fordel er ikke krypteringen som skaper overskrifter. Det er datatyveriet som skjer stille på forhånd og fortsetter å generere verdi for angripere lenge etter at den innledende krisen ser ut til å være løst.