62% ofiar ransomware to menedżerowie, a nie pracownicy IT

Gangi ransomware przepisują swoją listę celów

Przez lata konwencjonalna wiedza o ransomware była prosta: atakujący celują w administratorów IT, osoby z kluczami do sieci. Nowe ustalenia sugerują, że to założenie jest nieaktualne. Według ostatnich badań 62% ofiar ransomware zajmuje obecnie stanowiska kierownicze lub wyższe, co jest sygnałem, że atakujący celowo przesuwają się w górę struktury organizacyjnej, zamiast koncentrować się na personelu technicznym.

Ta zmiana ma znaczenie, ponieważ zmienia to, kto musi myśleć o ryzyku ransomware. To już nie jest problem wyłącznie zespołu bezpieczeństwa czy działu pomocy technicznej. Jeśli zarządzasz zespołem, zatwierdzasz budżety lub masz dostęp do poufnych plików w ramach swoich obowiązków, teraz znajdujesz się bezpośrednio na celowniku.

Dlaczego menedżerowie są teraz głównymi celami

Logika stojąca za tą zmianą staje się oczywista, gdy zrozumie się, jak naprawdę działają operacje ransomware. Atakujący nie próbują tylko włamać się do systemów; próbują wymusić wypłatę okupu. Menedżerowie i wyżsi rangą pracownicy zazwyczaj mają szerszy dostęp do danych finansowych, rejestrów klientów, plików HR i wewnętrznej komunikacji niż typowy administrator techniczny zarządzający pojedynczym systemem. Ten dostęp sprawia, że ich konta są cenniejsze po skompromitowaniu, a także czyni je skuteczniejszymi punktami nacisku podczas negocjacji.

W grę wchodzi również czynnik ludzki. Wyżsi rangą pracownicy to często osoby, które firmy odczuwają największą potrzebę chronić, zarówno ze względów reputacyjnych, jak i prawnych. Atakujący, który może wykazać dostęp do skrzynki odbiorczej lub plików menedżera, ma dźwignię wykraczającą poza zwykłe zablokowanie systemu. Staje się to zagrożeniem dla reputacji, relacji z klientami, a w niektórych przypadkach zgodności z przepisami.

Ta zmiana celów odzwierciedla również, jak profesjonalizowały się grupy ransomware. Wiele z nich działa dziś mniej jak samotni hakerzy, a bardziej jak zorganizowane przedsiębiorstwa, prowadząc badania nad tym, kto w docelowej firmie najprawdopodobniej ma wartościowy dostęp i najprawdopodobniej odczuje presję, by ułatwić wypłatę. Rozwój ransomware-as-a-service tylko to przyspieszył, pozwalając mniej technicznym grupom przestępczym wynajmować narzędzia i taktyki, które kiedyś były domeną wyspecjalizowanych ekip hakerskich. Warto zauważyć, że wiele z tego, co jest reklamowane na forach dark webu jako "ochrona" lub dostęp wewnętrzny, jest samo w sobie niewiarygodne i wyzyskujące, co jest zjawiskiem opisanym w Sprzedaż 'bezpieczeństwa' w dark webie to prawdziwy przekręt.

Konsekwencje dla prywatności pracowników i firm

Gdy konto lub urządzenie menedżera zostanie skompromitowane, konsekwencje dla prywatności wykraczają daleko poza pojedynczą osobę. Menedżerowie często mają dostęp do danych osobowych pracowników, umów z klientami, rejestrów finansowych, a czasem informacji zdrowotnych lub prawnych, w zależności od branży. Pojedyncze skompromitowane konto może ujawnić wrażliwe dane całej organizacji, a nie tylko skrzynkę odbiorczą jednej osoby.

To nie jest hipotetyczne ryzyko. Naruszenia na dużą skalę z kradzieżą danych korporacyjnych wielokrotnie pokazały, jak niszczycielskie może być dostanie się atakujących do wewnętrznych rejestrów, co widać w Naruszeniu danych w Novo Nordisk – kradzież 1,3 TB danych z badań klinicznych. Gdy takie dane zostaną wykradzione, szkoda nie ogranicza się do zapłacenia okupu; może oznaczać trwałe ujawnienie poufnych informacji, kontrolę regulacyjną i długoterminową szkodę reputacyjną dla organizacji.

Organy ścigania coraz częściej ścigają operatorów ransomware i dochodzi do skazań, co pokazuje wyrok opisany w Hakerzy TfL Jubair i Flowers skazani na pięć lat za hack na 29 mln funtów. Ale ściganie następuje po wyrządzeniu szkód. Zapobieganie pozostaje o wiele skuteczniejsze niż jakakolwiek reakcja prawna po fakcie.

Co to oznacza dla Ciebie

Jeśli pełnisz jakąkolwiek rolę kierowniczą lub nadzorczą, ten trend powinien skłonić do ponownej oceny własnych nawyków bezpieczeństwa, a nie tylko polityki IT firmy. Atakujący zakładają, że wyższy rangą personel rzadziej przestrzega ścisłych protokołów bezpieczeństwa niż specjaliści IT i częściej ma szeroki, niemonitorowany dostęp do wrażliwych systemów.

Praktyczne kroki mają tutaj znaczenie. Używaj unikalnych, silnych haseł do kont służbowych, włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, i zachowuj ostrożność przy nieoczekiwanych załącznikach lub linkach, nawet tych, które wydają się pochodzić od współpracowników lub dostawców. Menedżerowie powinni również naciskać na regularne szkolenia z zakresu świadomości phishingu w swoich zespołach i potwierdzić, że ich organizacja ma jasny, przetestowany plan reagowania na incydenty, który nie opiera się wyłącznie na personelu IT.

Wyprzedzenie tej zmiany

Ataki ransomware wymierzone w menedżerów zamiast personelu technicznego to znak, jak skalkulowane stały się te operacje. Atakujący podążają za dostępem, a nie za tytułem na papierze. Dla pracowników na każdym szczeblu, ale zwłaszcza tych na stanowiskach kierowniczych, oznacza to traktowanie świadomości cyberbezpieczeństwa jako części pracy, a nie odpowiedzialności kogoś innego. Organizacje, które najszybciej dostosują się do tej zmiany, szkoląc menedżerów obok personelu IT i ograniczając niepotrzebny dostęp do wrażliwych danych, będą najlepiej przygotowane, by nie stać się kolejną statystyką w tym rosnącym trendzie.