Ransomware kiedyś był prostym, brutalnym problemem: atakujący blokowali twoje pliki i żądali zapłaty za klucz. Dziś obraz jest bardziej skomplikowany. Ten przewodnik oferuje omówienie ransomware podwójnego wymuszenia dla zwykłych czytelników, oparte na niedawnym komentarzu w języku japońskim autorstwa Masayi Kinoshity, który opisuje, jak szkody wyrządzane przez ransomware stają się coraz bardziej wyrafinowane i poważne.

Kluczowy punkt jest taki, że główną taktyką jest obecnie „podwójne wymuszenie". Atakujący nie tylko szyfrują dane. Kradną również informacje i grożą ich ujawnieniem, jeśli ich żądania nie zostaną spełnione. Ta zmiana zmienia znaczenie obrony — zarówno dla organizacji, jak i dla osób, których dane te organizacje przechowują.

Jak działa podwójne wymuszenie

W klasycznym ataku ransomware przestępcy szyfrują pliki ofiary i żądają pieniędzy za odszyfrowanie. Głównym pytaniem ofiary jest to, czy może przywrócić swoje systemy.

Podwójne wymuszenie dodaje drugą dźwignię. Przed szyfrowaniem lub w jego trakcie atakujący kopiują poufne informacje z sieci ofiary. Następnie przedstawiają dwa zagrożenia jednocześnie:

  • Zapłać, albo twoje systemy pozostaną zablokowane.
  • Zapłać, albo twoje skradzione dane zostaną opublikowane.

Komentarz opisuje to jako główne podejście, a nie egzotyczne. Drugie zagrożenie jest tym, co czyni tę taktykę tak skuteczną. Nawet ofiara z doskonałym planem odzyskiwania wciąż staje w obliczu perspektywy pojawienia się danych klientów, danych pracowników lub dokumentów wewnętrznych w przestrzeni publicznej.

Dlaczego same kopie zapasowe nie rozwiązują już problemu

Tworzenie kopii zapasowych danych pozostaje niezbędne. Źródło podkreśla zapewnienie solidnych kopii zapasowych jako jeden z konkretnych środków, które organizacje powinny wdrożyć, ponieważ dobre kopie zapasowe pozwalają ofierze przywrócić działanie bez płacenia za klucz odszyfrowujący.

Jednak kopie zapasowe odpowiadają tylko na zagrożenie szyfrowaniem. Nie robią nic w kwestii skradzionych kopii. Przywrócenie plików z czystej kopii zapasowej nie ściąga danych z powrotem z serwera atakującego. Gdy informacje zostaną wykradzione, ofiara traci kontrolę nad tym, kto je zobaczy, a przestępcy o tym wiedzą.

Dlatego źródło łączy kopie zapasowe z innymi środkami, takimi jak uwierzytelnianie wieloskładnikowe. Powstrzymanie atakujących przed dostaniem się do środka lub przed swobodnym poruszaniem się po wejściu jest jedynym sposobem na zapobieżenie kradzieży w pierwszej kolejności. Kopie zapasowe to narzędzie odzyskiwania, a nie zapobiegania.

Co serwisy wyciekowe takie jak RansomHouse oznaczają dla twoich danych osobowych

Presja związana z podwójnym wymuszeniem jest często wywierana publicznie. Źródło odnosi się do serwisu o nazwie RansomHouse, przykładu serwisu wyciekowego, w którym grupy wymuszające wymieniają ofiary i grożą ujawnieniem lub faktycznie publikują skradziony materiał. Film omawiany w komentarzu wskazuje tego rodzaju serwis jako część obecnego zagrożenia.

Dla zwykłych ludzi kluczowe jest to, że możesz zostać dotknięty, nawet nigdy nie będąc celem. Jeśli firma, klinika, szkoła lub dostawca przechowujący twoje informacje zostanie zaatakowany, twoje dane mogą być częścią tego, co zostanie skradzione. Wpis w serwisie wyciekowym jest oznaką, że grupa wywiera presję na organizację, a nie dowodem na to, że twierdzenie jest prawdziwe. Na przykład nasze omówienie wpisu ransomware Everest dotyczącego Capgemini Engineering zauważa, że takie twierdzenia są zazwyczaj niezweryfikowane w momencie ich pojawienia się.

Niedawnym przykładem tego wzorca jest naruszenie Uber Freight, gdzie grupa Helix twierdziła, że posiada prawie 1 mln plików po umieszczeniu firmy w swoim serwisie wyciekowym w dark webie. Firma oświadczyła, że bada incydent bezpieczeństwa danych. Jeśli chcesz zrozumieć, dokąd trafiają skradzione informacje, nasze wyjaśnienie na temat co dzieje się z twoimi danymi po naruszeniu opisuje reakcję łańcuchową, która może nastąpić.

Co to oznacza dla ciebie

Większość czytelników nie zarządza siecią korporacyjną, ale wciąż jest częścią historii podwójnego wymuszenia. Twoje dane żyją w systemach innych ludzi i nie możesz kontrolować ich bezpieczeństwa. To, co możesz kontrolować, to ile szkód wyrządzi ci wyciek.

Opublikowany lub sprzedany zestaw danych osobowych może napędzać phishing, próby przejęcia konta i podszywanie się. Ponowne używanie haseł pogarsza sytuację, ponieważ jeden wyciekły poświadczenie może odblokować kilka kont. Dobra wiadomość jest taka, że kilka nawyków znacznie ogranicza skutki.

Praktyczne kroki dla osób prywatnych i małych organizacji

Dla osób prywatnych:

  • Używaj unikalnego hasła do każdego konta, przechowywanego w menedżerze haseł.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, zaczynając od poczty e-mail, bankowości i przechowywania w chmurze.
  • Podchodź sceptycznie do nieoczekiwanych wiadomości odwołujących się do twoich prawdziwych danych, ponieważ wyciekłe dane czynią oszustwa bardziej przekonującymi.
  • Jeśli zostaniesz powiadomiony o naruszeniu, natychmiast zmień dotknięte hasło oraz wszystkie inne, które były takie same.
  • Udostępniaj tylko te informacje osobowe, których usługa naprawdę potrzebuje.

Dla małych organizacji:

  • Utrzymuj solidne kopie zapasowe i przechowuj co najmniej jedną kopię offline lub oddzielnie od głównej sieci, aby atakujący nie mogli jej również zaszyfrować.
  • Wymagaj uwierzytelniania wieloskładnikowego od pracowników, szczególnie w przypadku dostępu zdalnego i kont administracyjnych.
  • Zbieraj i przechowuj mniej wrażliwych danych. Informacje, których nie posiadasz, nie mogą zostać skradzione.
  • Przygotuj plan reagowania na incydenty obejmujący kradzież danych, a nie tylko odzyskiwanie systemu, w tym kogo byś powiadomił.

Najważniejsze wnioski

Zrozumienie ransomware podwójnego wymuszenia wyjaśnionego prostymi słowami sprowadza się do jednej idei: szyfrowanie jest widocznym atakiem, a kradzież jest trwałym. Kopie zapasowe chronią twoje operacje, ale tylko zapobieganie, takie jak uwierzytelnianie wieloskładnikowe i ograniczanie przechowywanych danych, zmniejsza szansę na wyciek.

Aby zobaczyć, co zazwyczaj dzieje się po zabraniu informacji, przeczytaj nasz przewodnik na temat co dzieje się z twoimi danymi po naruszeniu i zapoznaj się z raportem o Uber Freight i Helix jako niedawnym przykładem wpisu wymuszającego w serwisie wyciekowym. Następnie poświęć dziesięć minut dzisiaj, aby włączyć uwierzytelnianie wieloskładnikowe na swoich najważniejszych kontach.