Dlaczego 1 na 5 zapłaconych okupów wciąż kończy się zdradą

Nowozelandzkie firmy rozważające, czy zapłacić okup w wyniku ataku ransomware, otrzymały właśnie otrzeźwiającą informację. Zgodnie z danymi na temat tego, które nowozelandzkie przedsiębiorstwa są najbardziej narażone na ataki hakerów ransomware, 80% ofiar, które zapłaciły, otrzymało działający klucz deszyfrujący i ich wykradzione dane nie wyciekły, tak jak obiecano. Brzmi to uspokajająco, dopóki nie odwrócimy tej liczby: w jednym na pięć przypadków ofiary zapłaciły i nie dostały nic. Nie ma klucza, nie ma usuniętych plików, nie ma dotrzymanej umowy.

To jest niewygodne sedno ryzyka związanego z płaceniem okupu za ransomware. Cały model szantażu opiera się na tym, że ofiary wierzą, iż przestępcy dotrzymają słowa, ponieważ reputacja solidności sprawia, że przyszłe ofiary będą płacić. Ale reputacja wśród grup przestępczych nie jest kontraktem prawnym, a z raportu jasno wynika, że niektórzy operatorzy po prostu biorą pieniądze i odchodzą, albo co gorsza, wracają po więcej.

Jak grupy ransomware atakują i ponownie szantażują ofiary

Jeden z bardziej niepokojących szczegółów w raporcie dotyczy grupy o nazwie SpaceBears, która podobno ponownie szantażowała ofiary, które już raz zapłaciły okup. Zamiast traktować zapłatę jako zakończenie incydentu, ofiary te znalazły się z powrotem w punkcie wyjścia, stawiając czoła drugiemu żądaniu za te same skradzione dane. Ta taktyka podważa podstawowe założenie, że zapłacenie rozwiązuje problem. Jeśli grupa przestępcza ma twoje dane, pojedyncza płatność nie gwarantuje, że znikną one z ich posiadania ani z posiadania kogokolwiek, komu je później sprzedadzą.

Grupy ransomware zwykle koncentrują się na organizacjach, które ich zdaniem są bardziej skłonne szybko zapłacić, często dlatego, że koszt przestoju lub szkód wizerunkowych przewyższa sam okup. Koszty odbudowy po ataku są niezmiennie wysokie i obejmują dochodzenie kryminalistyczne, odbudowę systemów, konsultacje prawne oraz potencjalne obowiązki zgłoszenia naruszenia do regulatora. To właśnie na tę presję finansową liczą atakujący, ustalając cenę i termin.

Zmniejszanie ekspozycji: podstawy ochrony danych i higieny bezpieczeństwa

Biorąc pod uwagę, że nawet udana płatność niesie ze sobą około 20% szans na porażkę, a niektóre grupy mogą wykorzystać ofiary dwukrotnie, trwalszą strategią jest zmniejszenie prawdopodobieństwa udanego ataku w pierwszej kolejności. Zaczyna się to od podstawowej, ale często zaniedbywanej higieny bezpieczeństwa: regularnych kopii zapasowych offline lub niezmienialnych, do których ransomware nie ma dostępu, terminowego łatania znanych luk, wieloskładnikowego uwierzytelniania we wszystkich punktach zdalnego dostępu oraz segmentacji sieci, aby pojedyncze skompromitowane konto nie doprowadziło do masowego szyfrowania danych.

Minimalizacja danych ma równie duże znaczenie jak zabezpieczenia techniczne. Organizacje, które przechowują mniej wrażliwych danych, przetrzymują je przez krótszy czas i szyfrują to, co przechowują, dają atakującym mniejszą przewagę, nawet jeśli dojdzie do naruszenia. W tym miejscu zrozumienie jurysdykcji VPN staje się istotne dla firm i osób prywatnych obsługujących wrażliwy ruch sieciowy. Kraj, w którym dostawca usługi ma siedzibę prawną, określa, jakie dane może zostać zmuszony ujawnić i jakie środki prawne przysługują ofiarom, jeśli coś pójdzie nie tak. Wybór narzędzi i dostawców o jasnej, korzystnej pozycji jurysdykcyjnej jest częścią szerszej postawy obronnej, a nie oddzielną kwestią od zapobiegania ransomware.

Szersze dyskusje na temat polityki cyfrowej w Nowej Zelandii również krzyżują się z tym zagadnieniem. Jak pokazują debaty wokół planów weryfikacji wieku w Nowej Zelandii, kraj aktywnie debatuje nad tym, ile danych osobowych platformy i regulatorzy powinni zbierać i przechowywać. Każda nowa pula przechowywanych danych osobowych jest potencjalnym celem ransomware, co sprawia, że minimalizacja danych jest zarówno kwestią polityki publicznej, jak i korporacyjną.

Co to oznacza dla firm i zwykłych użytkowników

Dla nowozelandzkich firm wniosek nie jest taki, że płacenie okupu zawsze jest bezcelowe. Wartość 80% pokazuje, że atakujący często dotrzymują obietnic. Jednak traktowanie zapłaty jako niezawodnej polisy ubezpieczeniowej jest błędem, którego dane nie potwierdzają. Wskaźnik niepowodzeń na poziomie jednego na pięć przypadków, w połączeniu z udokumentowanymi przypadkami ponownego wymuszenia, oznacza, że zapłata powinna być ostatecznością rozważaną pod kątem czynników prawnych, finansowych i reputacyjnych, a nie domyślną reakcją wpisaną w plan reagowania na incydenty.

Dla zwykłych użytkowników lekcja jest podobna, na mniejszą skalę. Osobiste kopie zapasowe, unikalne hasła i ostrożne obchodzenie się z załącznikami do wiadomości e-mail oraz linkami pozostają najtańszą i najskuteczniejszą obroną przed ransomware, które w końcu trafia do osób prywatnych za pośrednictwem kampanii phishingowych. Odbudowa po fakcie, niezależnie od tego, czy chodzi o dużą firmę, czy użytkownika domowego, jest kosztowna i niepewna w porównaniu z zapobieganiem.

Kluczowe wnioski

  • Około 20% ofiar ransomware, które płacą, nie otrzymuje nic w zamian, pomimo obietnic kluczy deszyfrujących i usunięcia danych.
  • Niektóre grupy ransomware, w tym SpaceBears, ponownie szantażowały ofiary, które już raz zapłaciły.
  • Niezawodne kopie zapasowe offline i silne kontrole dostępu całkowicie zmniejszają zależność od płacenia okupu.
  • Minimalizacja danych i świadomość jurysdykcji dostawcy zmniejszają przewagę, jaką atakujący mogą mieć nad tobą.
  • Ryzyko związane z płaceniem okupu za ransomware powinno być uwzględniane w planowaniu reagowania na incydenty każdej organizacji, a nie tylko przy bezpośrednim koszcie żądania.

Zrozumienie ryzyka związanego z płaceniem okupu za ransomware polega ostatecznie na uznaniu, że zapobieganie, dyscyplina w tworzeniu kopii zapasowych i ostrożne obchodzenie się z danymi dają większą pewność niż zaufanie, że przedsiębiorstwo przestępcze dotrzyma swojej części szantażu.