Proofpoint: Płacenie okupu gangom ransomware zachęca do kolejnych ataków

Dlaczego zapłacenie okupu nie kończy problemu

Kiedy ransomware blokuje systemy firmy, odruch, by zapłacić i przejść dalej, jest zrozumiały. Nowe badanie firmy ochroniarskiej Proofpoint, obejmujące 953 przedsiębiorstwa, sugeruje, że ten odruch może przynieść odwrotny skutek. Z ustaleń wynika, że organizacje, które płacą okup, często stają się bardziej atrakcyjnymi celami, a nie mniej. Gdy grupa przestępcza potwierdzi, że ofiara jest skłonna zapłacić, ta sama ofiara może zostać oznaczona do kolejnego ataku.

Ma to znaczenie, ponieważ logika stojąca za płaceniem okupu zawsze opierała się na prostej wymianie: pieniądze za zakończenie sprawy. Kadra kierownicza akceptuje płatności, wierząc, że przywracają one systemy, powodują usunięcie skradzionych danych, ograniczają przerwy w działalności i chronią klientów. Badania Proofpoint wskazują, że ta wymiana jest znacznie mniej niezawodna, niż zakłada większość organizacji. Płacenie niekoniecznie kończy relację z atakującym; w niektórych przypadkach rozpoczyna nową.

Biznesowa logika drugiego żądania

Grupy ransomware działają jak firmy, a firmy szukają stałych klientów. Firma, która już udowodniła, że zapłaci, jest z perspektywy przestępcy sprawdzonym źródłem przychodów. Ma kapitał obrotowy, zespół kierowniczy gotowy szybko zatwierdzić płatność i przypuszczalnie wciąż posiada te same luki, które umożliwiły pierwszy atak.

Ten ostatni punkt jest kluczowy. Zapłacenie okupu rozwiązuje natychmiastowy kryzys, ale rzadko usuwa podstawowe braki w zabezpieczeniach, które wpuściły atakujących. Jeśli ten sam wektor phishingu, niezałatane oprogramowanie lub odsłonięty punkt zdalnego dostępu nadal istnieje po incydencie, nic nie powstrzymuje tej samej grupy, ani jej podmiotu stowarzyszonego, który kupił dostęp do danych tej samej ofiary, przed ponowną próbą. Nasze wcześniejsze omówienie badań Proofpoint dotyczących płatników okupu za ransomware zagłębia się w to, jak często zdarzają się te powtarzające się incydenty i dlaczego sama płatność może działać jako sygnał dla innych grup przestępczych, że cel jest miękki.

Ograniczanie ryzyka wymuszenia, zanim się pojawi

Dobra wiadomość jest taka, że organizacje nie są tu bezsilne. Kroki zmniejszające ryzyko ransomware to w dużej mierze te same kroki, które zespoły bezpieczeństwa zalecały od lat, tylko nabierają większej pilności w świetle tych danych.

Utrzymywanie kopii zapasowych offline, które zostały przetestowane, pozostaje najskuteczniejszym sposobem uniknięcia konieczności podejmowania decyzji „zapłacić czy nie”. Jeśli systemy można odtworzyć z kopii zapasowej bez użycia klucza deszyfrującego atakującego, całe założenie wymuszenia upada. Istotna jest również segmentacja sieci: ograniczenie możliwości przemieszczania się atakującego po dostaniu się do środka zmniejsza promień rażenia każdego pojedynczego naruszenia, co z kolei zmniejsza przewagę podczas negocjacji okupu.

Ciągłe monitorowanie zagrożeń i wykrywanie na punktach końcowych pomagają wychwycić włamania, zanim przerodzą się w pełne zdarzenia szyfrowania. Wiele ataków ransomware rozwija się przez dni lub tygodnie między uzyskaniem wstępnego dostępu a uruchomieniem ostatecznego ładunku; to okno jest szansą na interwencję. Bezpieczne praktyki zdalnego dostępu, w tym korzystanie z VPN do szyfrowanych połączeń i uwierzytelnianie wieloskładnikowe dla każdego logującego się spoza sieci firmowej, odcinają jeden z częstszych punktów wejścia wykorzystywanych przez przestępców. Żaden z tych środków nie gwarantuje odporności, ale razem zmniejszają prawdopodobieństwo, że firma w ogóle stanie przed żądaniem okupu.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja kiedykolwiek padnie ofiarą ransomware, ustalenia Proofpoint sugerują, że płacenie nie powinno być traktowane jako czyste rozwiązanie. Przed zatwierdzeniem jakiejkolwiek płatności warto zapytać, czy podstawowa luka została zidentyfikowana i zamknięta, ponieważ jeśli nie, płatność może być po prostu pierwszą ratą w trwającej relacji z atakującym.

To także moment, aby wcześnie zaangażować organy ścigania, a nie jako refleksję. Agencje śledzące grupy ransomware mogą czasami zaoferować narzędzia deszyfrujące, informacje wywiadowcze o zachowaniu konkretnego gangu lub kontekst, czy dana grupa ma historię powtórnych wymuszeń. Sprowadzenie zewnętrznej wiedzy z zakresu reagowania na incydenty przed podjęciem decyzji o płatności, a nie po, daje organizacji jaśniejszy obraz rzeczywistych opcji.

Dla mniejszych firm bez dedykowanych zespołów bezpieczeństwa rachunek jest podobny, ale zasoby są skromniejsze. To sprawia, że zapobieganie jest jeszcze ważniejsze: podstawowa higiena, taka jak regularne kopie zapasowe, łatane oprogramowanie i bezpieczne narzędzia zdalnego dostępu, robi więcej dla zmniejszenia ryzyka niż jakakolwiek decyzja po incydencie.

Kluczowe wnioski

Główna lekcja z badania Proofpoint jest prosta: zapłacenie okupu kupuje czas, niekoniecznie bezpieczeństwo. Organizacje powinny traktować każdy incydent ransomware jako dowód luki w zabezpieczeniach, którą należy naprawić, niezależnie od tego, czy płatność zostanie dokonana. Praktyczne kroki, które warto priorytetyzować, to utrzymywanie kopii zapasowych offline, segmentacja sieci, monitorowanie pod kątem wczesnych oznak włamania oraz zabezpieczanie zdalnego dostępu za pomocą silnego uwierzytelniania i szyfrowanych połączeń.

Co najważniejsze, każda decyzja o płatności powinna być podejmowana równolegle z poważnym planem naprawczym, a nie zamiast niego. Gangi ransomware prowadzą biznes, a dane sugerują, że dokładnie wiedzą, których klientów warto obciążyć rachunkiem po raz drugi.