Ponad 50 naruszeń związanych z ransomware ujawnia nowy podręcznik kradzieży danych

Katalog ponad 50 ataków ransomware pokazuje, że model się zmienia

Nowe zestawienie przykładów ataków ransomware, obejmujące dziesiątki poważnych naruszeń i ich koszty finansowe, przedstawia coś, na co warto zwrócić uwagę poza samymi liczbami: mechanizmy tych ataków ewoluują w sposób, który naraża dane osobowe na większe ryzyko, niż kiedykolwiek mogło to zrobić samo szyfrowanie.

Klasyczna wersja ransomware, często nazywana krypto-ransomware, działa dokładnie tak, jak większość ludzi to sobie wyobraża. Złośliwy kod przedostaje się do sieci i szyfruje pliki przy użyciu silnych algorytmów, zazwyczaj AES-256 do zablokowania samych danych oraz RSA-2048 do ochrony klucza szyfrującego. Gdy ten proces się zakończy, pliki są praktycznie nie do odzyskania bez klucza prywatnego atakującego. Ofiarom wyświetlana jest wówczas nota z żądaniem okupu, zwykle w Bitcoinie lub Monero, często połączona z zegarem odliczającym czas i groźbą, że klucz zostanie zniszczony, jeśli termin minie.

Ten model zbudował reputację, jaką ransomware ma dzisiaj: zablokowany szpital, sparaliżowany urząd miasta, producent niezdolny do wysyłki produktów. Jednak katalog przykładów wskazuje na drugą, cichszą taktykę, która zyskuje na popularności równolegle – taką, która w ogóle nie opiera się na szyfrowaniu.

Szantaż oparty na kradzieży danych nie musi blokować ani jednego pliku

Zamiast szyfrować pliki, niektórzy atakujący po prostu kopiują wrażliwe dane z sieci, zanim ktokolwiek to zauważy, a następnie grożą ich publikacją lub sprzedażą, jeśli nie otrzymają zapłaty. Nie ma odliczającego zegara na zamrożonym pulpicie, nie ma działu IT pędzącego, by odtworzyć dane z kopii zapasowych. Dźwignią nie jest zakłócenie działania, lecz ujawnienie informacji.

To rozróżnienie ma znaczenie dla każdego, kto myśli o własnej prywatności, a nie tylko dla organizacji zarządzających budżetami bezpieczeństwa. Ransomware oparte na szyfrowaniu to w swej istocie problem dostępności: twoje dane wciąż istnieją, po prostu nie masz do nich dostępu, dopóki nie zostaną przywrócone lub nie zapłacisz okupu. Szantaż przez kradzież danych to problem poufności: informacje już wyciekły, już znajdują się na serwerze atakującego, a żadna zapłata okupu tego nie cofnie. Nawet organizacje z solidnymi kopiami zapasowymi i szybkimi planami odzyskiwania nie mają realnej odpowiedzi na zagrożenie zbudowane wyłącznie wokół ujawnienia. Grupy prowadzące operacje w modelu ransomware-as-a-service, takie jak te szczegółowo opisane w materiale o LockBit 5.0 i jego działaniach po Operacji Cronos, właśnie tak stosują podejście podwójnego zagrożenia: szyfruj, co możesz, kradnij to, czego nie możesz, i szantażuj na obu frontach.

Dlaczego żądanie okupu to tylko część historii

Relacje medialne na temat ataków ransomware mają tendencję do skupiania się na samej kwocie okupu i łatwo zrozumieć dlaczego: konkretna suma dolarów to chwytliwy nagłówek. Ale koszt finansowy ataku często odzwierciedla jedynie stronę reakcji: reagowanie na incydent, przestoje, opłaty prawne, kary regulacyjne i zapłacony okup, jeśli do niego doszło. Ta liczba nie oddaje dalszych konsekwencji dla prywatności osób, których dane znajdowały się w tym systemie: pacjentów, których dokumentacja medyczna została ujawniona, klientów, których dane płatnicze zostały skopiowane, pracowników, których informacje osobiste znajdowały się w bazie HR, z której dane wykradziono.

To właśnie jest prawdziwa implikacja dla prywatności ukryta w tych katalogach naruszeń. Firma może odzyskać swoje systemy, zapłacić kary i iść dalej. Osoba, której dane zostały skradzione, nie ma takiej samej możliwości czystego powrotu do normy. Jej informacje mogą krążyć w nieskończoność, gdy opuszczą pierwotną sieć, pojawiając się na listach do ataków credential stuffing, w kampaniach phishingowych czy próbach kradzieży tożsamości długo po tym, jak pierwotny atak zniknął z nagłówków wiadomości.

Co to oznacza dla Ciebie

Jeśli jesteś konsumentem, wniosek nie jest taki, że musisz osobiście bronić się przed ransomware – to problem organizacyjny firm przechowujących twoje dane. Jednak zwrot w kierunku szantażu przez kradzież danych oznacza, że powiadomienia o naruszeniach zasługują na większą uwagę, niż zwykle im poświęcamy, nawet jeśli firma twierdzi, że nie zapłacono okupu lub że systemy nie zostały zakłócone. „Nic nie zostało zaszyfrowane” nie oznacza już „nic nie zostało zabrane”.

Jeśli pracujesz w IT lub bezpieczeństwie, lekcja płynąca z tych ponad 50 przykładów jest taka, że sama strategia kopii zapasowych już nie wystarcza. Planowanie odzyskiwania musi uwzględniać ryzyko ujawnienia danych, a nie tylko przestojów, co oznacza szyfrowanie wrażliwych danych w spoczynku, ograniczanie dostępu dla pojedynczych zhakowanych kont i traktowanie wykrywania eksfiltracji danych równie poważnie, jak samo wykrywanie ransomware.

Praktyczne kroki, które warto podjąć

Kilka nawyków ma duże znaczenie, niezależnie od tego, po której stronie naruszenia się znajdujesz. Osoby fizyczne powinny monitorować powiadomienia o naruszeniach związanych z używanymi przez nie usługami, włączać uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, i traktować podejrzliwie niechciane wiadomości powołujące się na szczegóły konta, ponieważ skradzione dane często napędzają późniejszy phishing. Organizacje powinny zakładać, że każde udane włamanie może obejmować kradzież danych, nawet przy braku widocznej noty z żądaniem okupu, i budować plany reagowania, które uwzględniają ujawnienie informacji i ochronę klientów, a nie tylko przywracanie systemów.

Rozwój ransomware od czystego zagrożenia szyfrowaniem do szerszej ekonomii wymuszeń przypomina, że walka nie toczy się tylko o utrzymanie systemów w ruchu. Chodzi przede wszystkim o zachowanie prywatności informacji, a to odpowiedzialność, która sięga daleko poza moment pojawienia się na ekranie noty z żądaniem okupu.