Eksperci Delta Crisis: Jak firmy powinny negocjować podczas ataków ransomware

Ataki ransomware nie są już problemem zarezerwowanym dla dużych korporacji z głębokimi kieszeniami i dedykowanymi zespołami bezpieczeństwa. Według Michaela Sjøberga i Petera Skovbo z Delta Crisis, średniej wielkości firmy, będące kręgosłupem wielu gospodarek narodowych, coraz częściej znajdują się sparaliżowane przez atakujących, którzy szyfrują krytyczne systemy i żądają zapłaty za przywrócenie dostępu. Ich wskazówki, opublikowane za pośrednictwem Handelsblatt, oferują rzadki wgląd w to, jak firmy faktycznie negocjują z cyberwymusicielami oraz jakie kroki mogą zmniejszyć szkody jeszcze przed wystąpieniem ataku.

Dlaczego średniej wielkości firmy są nowym celem

Przez lata nagłówki o ransomware koncentrowały się na szpitalach, agencjach rządowych i międzynarodowych korporacjach. Ten obraz się zmienia. Atakujący zdali sobie sprawę, że mniejsze i średnie firmy często nie mają wielowarstwowych zabezpieczeń większych przedsiębiorstw, a mimo to posiadają cenne dane i nie mogą sobie pozwolić na długotrwałe przestoje. Ta zmiana odzwierciedla szerszy trend dokumentowany w ekosystemie ransomware, gdzie niektóre grupy przesunęły się w stronę tak zwanego tłumienia obszarowego sieci MŚP, atakując całe klastry mniejszych organizacji zamiast mozolnie wybierać pojedyncze ofiary o wysokiej wartości. Logika jest prosta: wolumen zastępuje precyzję, a nawet skromne okupy sumują się, gdy są mnożone przez dziesiątki ofiar.

Doświadczenie Delta Crisis sugeruje, że gdy atak już nastąpi, różnica między firmą, która wychodzi z ograniczonymi szkodami, a taką, która ponosi trwałe straty, często sprowadza się do przygotowania oraz sposobu prowadzenia negocjacji w pierwszych godzinach i dniach.

Wewnątrz negocjacji ransomware

Według Sjøberga i Skovbo, negocjacje z cyberprzestępcami nie polegają po prostu na decyzji, czy zapłacić. Wymagają zrozumienia modelu biznesowego atakującego, weryfikacji, jakie dane faktycznie zostały skradzione lub zaszyfrowane, oraz zarządzania komunikacją w sposób, który ani nie prowokuje grupy do zniszczenia danych, ani nie sygnalizuje desperacji, która mogłaby podnieść żądanie. To delikatna praca, która coraz bardziej przypomina profesjonalną branżę usługową po obu stronach stołu. Ta profesjonalizacja jest widoczna w całym krajobrazie ransomware. Grupy przyjęły ustrukturyzowane modele ransomware-jako-usługa, co widać także w ostrzeżeniach o ekspansji Gunra ransomware w model RaaS, gdzie afilianci przeprowadzają ataki przy użyciu narzędzi zbudowanych przez grupę centralną w zamian za udział w zyskach. Efektem jest bardziej skalowalny, powtarzalny proces wymuszenia, co właśnie sprawia, że strategia negocjacyjna ma tak duże znaczenie dla ofiary.

Punkt wejścia dla wielu tych ataków również zasługuje na uwagę. Atakujący często uzyskują początkowy dostęp przez inżynierię społeczną, a nie wykorzystywanie niejasnych luk technicznych. Kampanie nadużywające narzędzi takich jak Microsoft Teams do podszywania się pod fałszywy personel IT pokazują, jak pojedyncza wiarygodna rozmowa telefoniczna lub wiadomość czat może otworzyć drzwi do pełnego naruszenia sieci, na długo przed pojawieniem się jakiegokolwiek listu z żądaniem okupu.

Stawka dotycząca prywatności i ujawnienia danych

Negocjacje ransomware to nie tylko przywracanie dostępu do zaszyfrowanych plików. Współczesne grupy ransomware zazwyczaj kradną dane przed ich zaszyfrowaniem, a następnie grożą ich publikacją lub sprzedażą w przypadku braku zapłaty. Ten model podwójnego wymuszenia znacznie podnosi stawkę w kwestii prywatności. Dane klientów, dane pracowników i poufne informacje biznesowe mogą zostać ujawnione niezależnie od tego, czy firma zapłaci. Atakujący stali się również bardziej wyrafinowani w unikaniu wykrycia podczas fazy włamania, w tym stosują techniki całkowitego wyłączania narzędzi bezpieczeństwa, jak widać w raportach o GodDamn ransomware nadużywającym podpisanego sterownika do zabijania oprogramowania antywirusowego. Tego rodzaju skradanie się oznacza, że naruszenie może pozostać niezauważone znacznie dłużej, dając atakującym więcej czasu na eksfiltrację wrażliwych danych, zanim ktokolwiek zorientuje się, że coś jest nie tak.

Co to oznacza dla Ciebie

Jeśli prowadzisz lub pracujesz w średniej wielkości firmie, przesłanie od Delta Crisis jest jasne: gotowość na ransomware nie jest już opcjonalna i zaczyna się na długo przed wystąpieniem ataku. Podstawowa higiena, kopie zapasowe offline, testowane plany reagowania na incydenty oraz szkolenia personelu w zakresie inżynierii społecznej pozostają najsilniejszą obroną. Jeśli atak już nastąpi, decyzja o tym, czy i jak negocjować, nigdy nie powinna być podejmowana w izolacji ani w panice. Doświadczeni negocjatorzy rozumieją psychologię atakującego, weryfikują twierdzenia przed ich przyjęciem i wiedzą, jak zyskać na czasie bez eskalowania gróźb wobec skradzionych danych.

Dla osób, których dane mogą znajdować się w systemach firmy, podkreśla to również, dlaczego organizacje są zobowiązane do zachowania przejrzystości wobec klientów w przypadku naruszenia, ponieważ negocjacje ransomware bezpośrednio wpływają na to, czy dane osobowe pozostaną prywatne, czy też zostaną ujawnione.

Kluczowe wnioski

Firmy każdej wielkości powinny traktować ransomware jako scenariusz „kiedy", a nie „czy". Zbuduj plan reagowania na incydenty przed atakiem, utrzymuj testowane kopie zapasowe offline i z wyprzedzeniem określ, kto zajmie się komunikacją w przypadku kontaktu ze strony wymusicieli. Szkol personel w rozpoznawaniu prób inżynierii społecznej, szczególnie podszywania się przez codzienne narzędzia współpracy. Jeśli negocjacje staną się konieczne, zaangażuj doświadczonych profesjonalistów zamiast improwizować, ponieważ sposób, w jaki firma reaguje w pierwszych godzinach, może wpłynąć zarówno na wynik finansowy, jak i na to, ile danych osobowych lub firmowych ostatecznie zostanie ujawnionych.