Co pokazują nowe dane o płatnościach za ransomware

Nowy raport firmy Proofpoint, opublikowany w środę, dostarcza niewygodnego potwierdzenia dla każdego, kto kiedykolwiek rozważał zapłacenie grupie ransomware, aby pozbyć się problemu: znaczna część ofiar, które płacą, staje w obliczu drugiego żądania okupu. Raport ten potwierdza to, o czym badacze bezpieczeństwa i zespoły reagowania na incydenty mówili od lat – że negocjacje z ransomware nie są prowadzone w dobrej wierze, a zapłacenie okupu nie gwarantuje, że atakujący faktycznie odejdzie.

Dane Proofpoint dodają twarde liczby do schematu, który obrońcy od dawna podejrzewali na podstawie anegdot. Organizacje, które spełniają żądanie okupu, nie kupują zamknięcia sprawy. Często kupują drugą rundę nacisku dla tego samego atakującego lub dla zupełnie innej grupy, która wróci i zażąda więcej.

Dlaczego zapłacenie okupu zaprasza do drugiego ataku

Logika stojąca za powtarzalnym wymuszeniem jest prosta, gdy spojrzy się na nią z perspektywy atakującego. Cały model biznesowy grupy ransomware opiera się na tym, że ofiary wierzą, iż zapłata kończy kryzys. Ale nie ma żadnej umowy prawnej, żadnego mechanizmu egzekwowania i żadnego ryzyka utraty reputacji na tyle silnego, by zagwarantować słowo atakującego po tym, jak pieniądze zmieniły właściciela. Jeśli ofiara już pokazała chęć i zdolność do zapłaty, staje się bardziej atrakcyjnym celem, a nie rozliczonym kontem.

Jest to jeden z powodów, dla których badacze bezpieczeństwa opisują negocjacje z ransomware jako fundamentalnie różne od normalnej transakcji biznesowej. Druga strona nie ma żadnej motywacji, by faktycznie odejść. Grupa przestępcza, która raz skutecznie wyciągnęła zapłatę, ma wszelkie powody, by sprawdzić, czy ta sama organizacja zapłaci ponownie – czy to przez ponowne zaszyfrowanie systemów, groźbę ponownego wycieku wcześniej skradzionych danych, czy po prostu przez otwarcie nowego żądania związanego z pierwotnym włamaniem.

Ta dynamika jest ściśle związana z tym, co branża nazywa podwójnym wymuszeniem (double extortion) lub wielokrotnym wymuszeniem (multi-extortion), gdzie atakujący nie tylko szyfrują pliki, ale wcześniej kradną dane, dając sobie wiele punktów nacisku, by wycisnąć ofiarę nawet po zapłaceniu okupu. Wyniki Proofpoint sugerują, że nawet po tym, jak ta początkowa kampania nacisku odniesie sukces, źródło niekoniecznie wysycha.

Jak niewykryte naruszenia ułatwiają ponowne wymuszenie

Jednym z powodów, dla których powtarzalne wymuszenie działa tak dobrze dla atakujących, jest to, że wiele ofiar nie rozumie w pełni zakresu naruszenia w momencie podejmowania decyzji o płatności. Jeśli organizacja odkrywa zaszyfrowane pliki i negocjuje okup bez uprzedniego ustalenia, jakie dokładnie dane zostały odczytane, skopiowane lub pozostawione jako tylne wejście, to faktycznie zgadza się na cenę, nie wiedząc, co tak naprawdę odkupuje.

Ta luka między wykryciem a reakcją to powracający motyw w badaniach nad ransomware. Jak opisano w pokrewnym raporcie o niepowodzeniach w wykrywaniu ransomware, prawie połowa wszystkich ofiar ransomware traci dane, zanim w ogóle zorientuje się, że atak jest w toku. To opóźnienie ma tu ogromne znaczenie: jeśli ofiara nie wie, że atakujący wykradł dane na tygodnie przed uruchomieniem ransomware, zapłacenie za odblokowanie plików nie rozwiązuje problemu skradzionych informacji leżących na przestępczym serwerze – można je ponownie spieniężyć przez kolejne żądanie, sprzedać osobno lub wykorzystać do świeżej groźby wycieku w przyszłości.

Kroki obronne: kopie zapasowe, monitorowanie i planowanie reagowania na incydenty

Praktyczny wniosek płynący z raportu Proofpoint nie brzmi: „nigdy pod żadnym pozorem nie należy płacić okupu”. Brzmi raczej: „nigdy nie należy traktować zapłaty jako gwarantowanego rozwiązania”. Organizacjom – i osobom zarządzającym mniejszymi sieciami czy firmami – lepiej służy inwestowanie na początku w zapobieganie i wykrywanie, a nie na końcu w negocjacje.

Oznacza to utrzymywanie regularnych, testowanych kopii zapasowych offline, aby zaszyfrowane pliki można było odtworzyć bez płacenia komukolwiek. Oznacza to inwestowanie w narzędzia monitorujące, które mogą wychwycić nieautoryzowany dostęp do danych, zanim atakujący zdążą wykraść duże ilości informacji wrażliwych. Oznacza to również posiadanie planu reagowania na incydenty, przygotowanego przed atakiem, który obejmuje dochodzenie kryminalistyczne w celu ustalenia dokładnie, do czego uzyskano dostęp – nie tylko tego, czy pliki zostały zaszyfrowane.

Co to oznacza dla Ciebie

Dla właścicieli małych firm i osób prywatnych przekaz płynący z tych badań jest jasny: nie zakładaj, że zapłacenie okupu to szybkie, czyste rozwiązanie, jakim może się wydawać w danej chwili. Atakujący, którzy już raz okazali gotowość do szantażowania cię, mają zarówno środki, jak i motyw, by zrobić to ponownie. Prawdziwą obroną przed powtarzalnymi atakami wymuszającymi okup za ransomware nie jest lepsza strategia negocjacyjna, lecz zmniejszenie prawdopodobieństwa znalezienia się w takiej sytuacji dzięki solidnym kopiom zapasowym, szybszemu wykrywaniu i jasnemu planowi reagowania.

Praktyczne wskazówki do wdrożenia

  • Traktuj zapłatę okupu jako ostateczność, a nie gwarantowane rozwiązanie – dane Proofpoint pokazują, że atakujący często wracają z nowymi żądaniami.
  • Priorytetowo traktuj offline’owe, testowane kopie zapasowe, aby samo szyfrowanie plików nie mogło wymusić decyzji o zapłacie.
  • Inwestuj w narzędzia detekcyjne, które wcześnie wychwytują eksfiltrację danych, ponieważ opóźnione wykrycie daje atakującym większą siłę nacisku do ponownego wymuszenia.
  • Zbuduj plan reagowania na incydenty przed atakiem, uwzględniając w nim kroki kryminalistyczne do określenia pełnego zakresu każdego naruszenia.
  • Zakładaj, że wszelkie dane skradzione przed zapłaceniem okupu pozostają przyszłym ryzykiem, niezależnie od obietnic atakujących.