Co ujawniło badanie Proofpoint na temat powtarzających się ataków
Nowe badanie firmy Proofpoint zajmującej się cyberbezpieczeństwem stanowi otrzeźwiającą weryfikację rzeczywistości dla organizacji, które traktują płatności okupu jako szybkie rozwiązanie. Zgodnie z badaniem, ponad jedna trzecia firm, które zapłaciły żądany okup, została później celem drugiej próby wymuszenia. Innymi słowy, wypisanie czeku nie zamyka sprawy incydentu – dla znacznej części ofiar otwiera nowy rozdział.
To odkrycie jest istotne, ponieważ podważa powszechne w salach konferencyjnych przekonanie, że w czasie kryzysu zapłacenie atakującym jest najszybszym sposobem na pozbycie się problemu. Dane Proofpoint sugerują coś przeciwnego. Gdy firma pokazuje, że jest skłonna zapłacić, może stać się powtarzalnym celem – zarówno dla pierwotnego napastnika, jak i dla innej grupy, która dowiedziała się, że organizacja jest łatwym łupem.
Dlaczego zapłata okupu nie gwarantuje bezpieczeństwa danych
Główną kwestią podkreśloną przez Proofpoint jest to, że negocjacje okupu opierają się na zaufaniu do przestępców, którzy nie mają żadnego wiążącego obowiązku dotrzymania swojej części umowy. Zapłata za odszyfrowanie plików nie gwarantuje, że skradzione dane nie zostały już wcześniej skopiowane gdzie indziej, ani nie powstrzymuje atakujących przed odsprzedażą poświadczeń dostępu, map sieciowych czy wykradzionych plików innym grupom przestępczym.
To właśnie mechanizm stojący za opisanym w badaniu cyklem powtarzającego się wymuszenia. Współczesne operacje ransomware coraz częściej polegają na podwójnym wymuszeniu – szyfrowaniu systemów przy jednoczesnej kradzieży wrażliwych danych przed zażądaniem płatności. Nawet jeśli klucz deszyfrujący zostanie dostarczony zgodnie z obietnicą, same skradzione dane pozostają zobowiązaniem. Mogą zostać wykorzystane do drugiego szantażu, sprzedane na rynkach przestępczych lub wykorzystane przez zupełnie innego aktora zagrożeń, który kupi dostęp od pierwotnego atakującego. Opłata rozwiązuje natychmiastową niedostępność systemów, ale nie robi nic, aby zmniejszyć zasadnicze narażenie danych organizacji.
Rosnące zagrożenie dla małych i średnich firm
Choć na pierwszych stronach gazet o ransomware historycznie dominowały duże przedsiębiorstwa, mniejsze i średnie firmy coraz częściej znajdują się na celowniku, często dlatego, że mają mniej zasobów do inwestowania w wykrywanie, reagowanie i odzyskiwanie danych. Organizacje te mogą być szczególnie podatne na opisywany przez Proofpoint wzorzec powtarzającego się wymuszenia, ponieważ jedna udana płatność może je oznaczyć jako skłonne i zdolne do ponownej zapłaty.
Ta dynamika już się realizuje w przypadku operacji ransomware-jako-usługa, które celują właśnie w mniejsze organizacje. Jak szczegółowo opisano w materiale o grupach ransomware Qilin i The Gentlemen eskalających ataki na MŚP, grupy te rywalizują o dominację, koncentrując się na firmach, które mogą nie mieć doświadczenia w negocjacjach, wsparcia prawnego ani infrastruktury reagowania na incydenty, którą dysponują większe podmioty. Gdy mniejsza firma raz zapłaci, może nie mieć środków, by zasadniczo zmienić swoją postawę bezpieczeństwa po tym fakcie, pozostawiając te same luki na kolejne próby.
Jak zmniejszyć ryzyko: kopie zapasowe, szyfrowanie i planowanie incydentów
Wyniki badania Proofpoint wzmacniają przekaz, który specjaliści ds. bezpieczeństwa powtarzają od lat: zapobieganie i przygotowanie są ważniejsze niż negocjacje. Kilka praktycznych kroków może znacząco zmniejszyć zarówno prawdopodobieństwo ataku, jak i szkody, jeśli do niego dojdzie.
Po pierwsze, utrzymuj kopie zapasowe offline lub niezmienne, które są regularnie testowane. Opłata okupu często staje się jedyną opcją, gdy kopie zapasowe są nieobecne, przestarzałe lub same zostały zaszyfrowane podczas ataku. Po drugie, szyfruj wrażliwe dane w spoczynku i podczas transmisji, aby nawet w przypadku ich wykradzenia przez atakujących, skradzione informacje miały ograniczoną wartość. Po trzecie, zbuduj plan reagowania na incydenty zanim dojdzie do ataku, a nie w jego trakcie. Plan ten powinien obejmować jasne role, protokoły komunikacji oraz zweryfikowane wcześniej kontakty prawne i kryminalistyczne, aby decyzje nie zapadały pod wpływem paniki i presji czasu.
Organizacje powinny również zakładać, że wszelkie dane, które zostały dotknięte włamaniem, mogą ostatecznie zostać upublicznione lub odsprzedane, niezależnie od tego, czy okup został zapłacony. Przygotowanie się na taką ewentualność – poprzez procedury powiadamiania klientów, oferty monitorowania zdolności kredytowej i analizę prawną – jest znacznie bardziej niezawodne niż nadzieja, że grupa przestępcza usunie skradzione pliki po otrzymaniu płatności.
Co to oznacza dla Ciebie
Jeśli Twoja organizacja kiedykolwiek stanie w obliczu żądania okupu, badanie Proofpoint sugeruje, że decyzji o zapłacie nie należy traktować jako gwarantowanego rozwiązania. Ryzyko ponownego wymuszenia po zapłaceniu okupu za ransomware jest realne i udokumentowane: zapłata może cię oznaczyć jako cel, zamiast zamknąć incydent. Niezależnie od tego, czy prowadzisz małą firmę, czy zarządzasz bezpieczeństwem w większym przedsiębiorstwie, najbezpieczniejszym założeniem jest, że żadne zdarzenie ransomware nie musi być jednorazowym incydentem, o ile nie usuniesz pierwotnych przyczyn, które umożliwiły włamanie.
Kluczowe wnioski
- Nie zakładaj, że zapłata kończy zagrożenie. Proofpoint stwierdził, że ponad jedna trzecia płacących ofiar mierzy się z drugą próbą wymuszenia.
- Stawiaj na niezmienne, przetestowane kopie zapasowe, aby opłata okupu nie była nigdy twoją jedyną drogą do odzyskania danych.
- Szyfruj wrażliwe dane, aby ograniczyć szkody wynikające z wycieku, nawet jeśli systemy zostaną skompromitowane.
- Zbuduj i przećwicz plan reagowania na incydenty przed atakiem, a nie w jego trakcie.
- Zrozum, że mniejsze firmy są coraz częściej celem grup takich jak Qilin i The Gentlemen, co sprawia, że proaktywna obrona jest niezbędna bez względu na wielkość firmy.
