Why is backup-and-restore no longer enough on its own against ransomware?

Backups address encryption but not data theft, so attackers increasingly rely on stealing and threatening to expose data instead of just locking files.

How is AI affecting ransomware attacks?

AI lowers the technical skill required to run ransomware operations, allowing more people to participate and existing groups to operate faster and at greater scale.

What happened to ransom payment rates in recent years?

Ransom payment rates have fallen for six straight years, from about 85% in 2019 to roughly 23% today.

Why have ransomware attackers shifted toward data theft?

Because encryption alone has become less reliable as a moneymaker when organizations can restore from backups, so attackers now emphasize extortion based on the threat of public exposure.

What network-level defenses does the article say are becoming central?

Segmentation, VPN-gated access, and least-privilege networking are becoming central rather than supplementary defenses.

Trend ransomware AI: dlaczego obrona sieciowa ma teraz większe znaczenie

Obrona sieciowa przed ransomware AI: nowy priorytet w obliczu zmieniającej się taktyki

Nowe badania firmy Check Point zwracają uwagę na zmianę sposobu działania operatorów ransomware i wyjaśniają, dlaczego stary schemat oparty na tworzeniu kopii zapasowych i przywracaniu danych już nie wystarcza. Dane pokazują coś sprzecznego z intuicją: w miarę jak technologia kopii zapasowych i odzyskiwania danych się poprawia, atakujący nie zrezygnowali. Oni się przystosowali. Wskaźnik płacenia okupów spada od sześciu lat z rzędu – z około 85% w 2019 r. do mniej więcej 23% obecnie – a ten spadek zmienia strategię atakujących w sposób, który zwiększa presję na obronę na poziomie sieci, taką jak segmentacja i kontrolowany zdalny dostęp.

Ma to znaczenie dla każdego, kto odpowiada za ochronę systemów firmowych, a także dla szerszej dyskusji na temat obrony sieciowej przed ransomware AI, ponieważ narzędzia, które kiedyś wydawały się opcjonalne (segmentacja, dostęp przez VPN, sieci z minimalnymi uprawnieniami), stają się kluczowe, a nie dodatkowe.

Jak AI obniża próg wejścia

Badania Check Point wskazują na sztuczną inteligencję jako czynnik redukujący umiejętności techniczne potrzebne do prowadzenia operacji ransomware. Zadania, które kiedyś wymagały specjalistycznej wiedzy z zakresu kodowania, tworzenia niestandardowego złośliwego oprogramowania lub dogłębnej znajomości środowisk docelowych, mogą być teraz przyspieszane lub automatyzowane za pomocą narzędzi AI. Nie musi to oznaczać, że AI z dnia na dzień wymyśla nowe kategorie ataków, ale oznacza, że więcej osób może uczestniczyć w operacjach ransomware z mniejszym doświadczeniem, a istniejące grupy mogą działać szybciej i na większą skalę.

Ten obniżony próg wejścia wpisuje się w szerszy wzorzec już widoczny w krajobrazie ransomware. Jak opisano w raporcie o tym, jak ekosystem ransomware rozpada się na dziesiątki aktywnych grup, obszar ten nie konsoliduje się wokół kilku dominujących graczy. Zamiast tego rozbija się na wiele mniejszych, bardziej zwinnych operacji. Narzędzia AI prawdopodobnie przyspieszają tę fragmentaryzację, ułatwiając mniejszym lub nowszym grupom przeprowadzanie wiarygodnych ataków bez zasobów, które wcześniej stanowiły barierę.

Dlaczego spadający wskaźnik płatności okupów popycha atakujących w stronę kradzieży danych

Spadek wskaźnika płacenia okupów nie jest oznaką, że ransomware zanika. To znak, że samo szyfrowanie przestało być niezawodnym źródłem dochodów. Gdy organizacje mogą przywracać systemy z kopii zapasowych bez płacenia, dźwignia, jaką kiedyś dawało szyfrowanie, znika. Atakujący zareagowali, przesuwając nacisk w stronę kradzieży danych i szantażu opartego na groźbie publicznego ujawnienia, zamiast polegać wyłącznie na blokowaniu plików.

To istotne rozróżnienie dla obrońców. Strategia ransomware oparta na założeniu „mamy dobre kopie zapasowe, więc jesteśmy zabezpieczeni” rozwiązuje połowę problemu – szyfrowanie – ale robi niewiele, aby powstrzymać kopiowanie i eksfiltrację danych, zanim do szyfrowania w ogóle dojdzie. Jeśli atakujący mogą przemieszczać się bocznie po sieci, znajdować wrażliwe zbiory danych i po cichu je wyprowadzać, kopie zapasowe stają się nieistotne dla tej części ataku. Groźba szantażu zmienia się z „zapłaćcie, aby odzyskać dane” na „zapłaćcie albo ujawnimy to, co już wzięliśmy”.

Gdzie kopie zapasowe zawodzą: argument za segmentacją i kontrolowanym dostępem

W tym miejscu architektura sieci staje się równie ważna jak planowanie odzyskiwania danych. Kopie zapasowe chronią przed utratą danych, ale nie robią nic, aby uniemożliwić atakującemu przeglądanie płaskiej sieci, przeskakiwanie między systemami i dotarcie do danych, do których nigdy nie powinien mieć dostępu. W tym środowisku kluczowe znaczenie mają dwie kontrole:

Segmentacja sieci ogranicza zasięg przemieszczania się atakującego po uzyskaniu początkowego dostępu. Jeśli zainfekowane urządzenie znajduje się w izolowanym segmencie z ograniczonymi ścieżkami do wrażliwych systemów, promień rażenia naruszenia znacznie się zmniejsza, nawet jeśli narzędzia wspomagane AI pomogły atakującemu szybko się dostać.

Kontrola dostępu oparta na VPN i świadoma tożsamości ogranicza, kto i co w ogóle może uzyskać dostęp do zasobów wewnętrznych. Zamiast pozwalać na szeroki dostęp do sieci po wejściu do obwodu, nowoczesne podejścia do dostępu stale weryfikują tożsamość i stan urządzenia oraz kierują ruch przez kontrolowane, zaszyfrowane kanały. Zmniejsza to szanse, że pojedyncze skompromitowane poświadczenie lub punkt końcowy stanie się bramą do całej sieci.

Razem te kontrole dotyczą tej części łańcucha ataku, której nie obejmują kopie zapasowe: fazy rozpoznania i ruchu bocznego, w której faktycznie dochodzi do kradzieży danych.

Co to oznacza dla Ciebie

Dla zespołów IT i bezpieczeństwa wniosek jest prosty: planowanie odzyskiwania danych i kontrola dostępu powinny być traktowane jako uzupełniające się, a nie wymienne. Dobre kopie zapasowe chronią przed przestojami i utratą danych spowodowaną szyfrowaniem, ale nie powstrzymują kradzieży, a kradzież w coraz większym stopniu staje się dźwignią, na której polegają atakujący. Przeanalizowanie, jak płaska lub segmentowana jest Twoja sieć oraz jak ściśle kontrolowany jest dostęp zdalny i wewnętrzny, to praktyczny kolejny krok niezależnie od wielkości firmy.

Dla indywidualnych użytkowników i mniejszych organizacji zasada również się skaluje. Ograniczenie tego, do czego może dotrzeć pojedyncze urządzenie lub konto, stosowanie silnych kontroli dostępu dla połączeń zdalnych i sceptyczne podejście do nietypowej aktywności kont zmniejszają szanse, że jeden skompromitowany punkt wejścia zamieni się w naruszenie na pełną skalę.

Praktyczne wnioski

Nie polegaj wyłącznie na kopiach zapasowych; chronią one przed szyfrowaniem, ale nie przed kradzieżą danych, która jest obecnie główną taktyką szantażu.
Przeanalizuj segmentację sieci, aby ograniczyć ruch boczny w przypadku kompromitacji urządzenia lub konta.
Wzmocnij kontrolę dostępu VPN i zdalnego poprzez weryfikację tożsamości, zamiast szerokiego zaufania do obwodu.
Bądź na bieżąco z ewolucją grup ransomware, ponieważ narzędzia AI umożliwiają większą liczbę mniejszych i szybciej działających operacji w rozdrobnionym ekosystemie.
Traktuj obronę sieciową przed ransomware AI jako ciągłą, warstwową strategię, a nie jednorazowe ulepszenie.

W miarę jak AI wciąż zmienia ekonomię i mechanikę ransomware, najlepiej poradzą sobie organizacje, które traktują obronę sieciową, a nie tylko odzyskiwanie danych, jako swoją pierwszą linię ochrony.