Paying a ransomware gang was never a guarantee of safety, but new research puts a hard number on just how often that gamble fails. According to recent findings, 58% of UK organizations hit by ransomware paid the demanded ransom, and 22% of those payers were hit again with a second extortion attempt. The message for IT teams, and for anyone whose personal data passes through corporate networks, is that the old playbook of "pay and move on" no longer holds up.

Nowa rzeczywistość: zapłata nie kończy ataku

Ransomware kiedyś działał według dość przewidywalnego scenariusza: atakujący szyfrują twoje pliki, ty płacisz, otrzymujesz klucz deszyfrujący i incydent jest zamknięty. Ten scenariusz został napisany na nowo. Przejście na podwójne wymuszenie, gdzie atakujący kradną dane przed ich zaszyfrowaniem i grożą ich wyciekiem niezależnie od zapłaty, sprawia, że transakcja okupu niczego nie rozstrzyga. Liczba 22% pokazująca ponowne wymuszenia wobec organizacji, które już zapłaciły, potwierdza to, przed czym od lat ostrzega wielu badaczy bezpieczeństwa: gdy twoje dane opuszczą sieć, nie masz już realnej kontroli nad tym, co się z nimi stanie. Grupa przestępcza, która raz otrzymała zapłatę, ma wszelkie powody, by wrócić – bez względu na to, czy będzie to ten sam podmiot, czy inny, korzystający z odsprzedanego dostępu.

Dla administratorów Windows szczególnie zmienia to kalkulację dotyczącą reagowania na incydenty. Przywracanie z kopii zapasowych było dotąd traktowane jako alternatywa dla płacenia okupu. Teraz należy je traktować jako podstawowe założenie, ponieważ zapłata nie powstrzymuje niezawodnie wycieku danych po stronie kradzieży. Przetestowane, odłączone kopie zapasowe, silne zabezpieczenia tożsamości i udokumentowany plan odzyskiwania to elementy, które naprawdę przerywają cykl – a nie przelew na anonimowy portfel.

AI przyspiesza początkowe naruszenie

Drugim ważnym wątkiem w tych badaniach jest rosnąca rola sztucznej inteligencji we wczesnych etapach ataku. Początkowe naruszenie, moment, w którym atakujący po raz pierwszy zdobywają przyczółek w sieci, to obszar, gdzie narzędzia AI rzekomo mają największy wpływ. Szybszy rekonesans, bardziej przekonujące przynęty phishingowe i sprawniejsze identyfikowanie luk możliwych do wykorzystania – wszystko to skraca okno czasowe, w którym obrońcy mogą zauważyć, że coś jest nie tak, zanim wyrządzone zostaną szkody.

Ma to znaczenie, ponieważ większość zabezpieczeń przed ransomware nadal opiera się na założeniu, że atakujący potrzebują czasu na poruszanie się po sieci, zanim wyrządzą poważne szkody. Jeśli sztuczna inteligencja skraca ten czas, organizacje polegające wyłącznie na okresowych cyklach łatek i ręcznym monitorowaniu są coraz bardziej narażone. To pokazuje, dlaczego bezpieczeństwo tożsamości – uwierzytelnianie wieloskładnikowe, zarządzanie uprzywilejowanym dostępem i szybkie wykrywanie anomalii – stało się równie ważne jak ochrona punktów końcowych.

Dlaczego kradzież danych to prawdziwa historia o prywatności

Podczas gdy zaszyfrowane pliki trafiają na pierwsze strony gazet, model podwójnego wymuszenia rzuca światło na coś, co ma większe znaczenie dla zwykłych ludzi: same dane. Każdy incydent ransomware obejmujący skradzione rekordy kadrowe, bazy danych klientów czy akta pracownicze jest w istocie incydentem naruszenia prywatności. Wystarczy spojrzeć, jak naruszenie systemu kadrowego Statistics South Africa ujawniło dane pracowników – przypadek ilustrujący, że wewnętrzne systemy przechowujące wrażliwe dane osobowe mogą stać się rzeczywistym celem, a nie tylko przypadkową ofiarą szerszego ataku. Gdy grupy ransomware wykradają tego typu dane przed zablokowaniem systemów, zapłata okupu w żaden sposób nie cofa faktu, że nazwiska, pensje, adresy czy dane zdrowotne mogą już znajdować się na serwerach przestępców lub być wystawione na sprzedaż.

To aspekt często pomijany w czysto technicznych doniesieniach o ransomware: druga próba wymuszenia to nie tylko ból głowy dla firmy, ale druga fala ujawnienia danych dla osób, których dane zostały skradzione w pierwszej kolejności. Pracownicy, klienci i pacjenci rzadko mają wpływ na decyzję organizacji o zapłacie, a mimo to ponoszą długotrwałe ryzyko kradzieży tożsamości, celowego phishingu czy oszustw na długo po tym, jak nagłówki znikną.

Co to oznacza dla Ciebie

Jeśli pracujesz w IT lub bezpieczeństwie, te dane są wyraźnym sygnałem, by przestać traktować zapłatę okupu jako rozwiązanie i zacząć traktować ją jako ostateczność. Plany odzyskiwania, niezmienialne kopie zapasowe i zabezpieczenia skoncentrowane na tożsamości zasługują na więcej budżetu i czasu na testy, niż dotychczas otrzymują. Jeśli jesteś pracownikiem lub klientem organizacji, która zgłosiła incydent ransomware, załóż, że twoje dane mogły zostać skopiowane, nawet jeśli usłyszysz, że systemy zostały „przywrócone”. Monitoruj swoje konta, zwracaj uwagę na próby phishingu odwołujące się do tego naruszenia i rozważ monitorowanie zdolności kredytowej, jeśli w grę wchodziły wrażliwe dane osobowe lub finansowe.

Konkretne wnioski

Organizacje powinny regularnie przeprowadzać audyt integralności kopii zapasowych i weryfikować, czy są one rzeczywiście odizolowane od sieci produkcyjnej. Uwierzytelnianie wieloskładnikowe i zasada najmniejszych uprawnień powinny być niepodlegające dyskusji we wszystkich systemach, nie tylko w tych krytycznych. Plany reagowania na incydenty muszą wyraźnie uwzględniać scenariusz podwójnego wymuszenia, w tym kroki prawne i komunikacyjne na wypadek, gdy skradzione dane trafią do przestrzeni publicznej. Osoby dotknięte jakimkolwiek ujawnieniem ransomware powinny zmienić hasła, włączyć MFA tam, gdzie to możliwe, i zachować czujność na oszustwa następcze. Dane mówią jasno: druga próba wymuszenia po ransomware nie jest już rzadkim przypadkiem skrajnym – staje się standardowym elementem cyklu ataku, a przygotowanie to jedyna skuteczna obrona.