Ransomware Qilin rzekomo zaatakował 1358 ofiar, co jest rekordową liczbą podkreślającą, jak skuteczna może stać się jedna operacja ransomware, gdy łączy kradzież danych, szyfrowanie i wykorzystywanie codziennych luk w zabezpieczeniach. Sukces tej grupy nie opiera się wyłącznie na jakimś egzotycznym exploicie zero-day. Z doniesień wynika, że Qilin rozprzestrzenia się głównie poprzez ujawnione dane uwierzytelniające, niezałatane oprogramowanie i zaufane połączenia sieciowe – te same słabości, które rok po roku pojawiają się w audytach bezpieczeństwa w organizacjach każdej wielkości.

Ten szczegół jest ważniejszy niż liczba w nagłówkach. Oznacza to, że droga do sieci ofiary często zaczyna się od czegoś przyziemnego: ponownie użytego hasła, zapomnianej aktualizacji oprogramowania czy loginu, który powinien był zostać wyłączony miesiące temu. Dla pracowników, którzy nigdy nie myślą o sobie jako o „zespole ds. bezpieczeństwa”, jest to niewygodny, ale ważny sygnał ostrzegawczy.

Czym jest ransomware Qilin i jak się rozprzestrzenia

Qilin działa jako szczep ransomware, który zarówno kradnie dane, jak i szyfruje systemy – połączenie to jest powszechnie znane jako podwójne wymuszenie. Zamiast po prostu blokować pliki i żądać zapłaty za klucz deszyfrujący, grupy stosujące ten model najpierw wykradają poufne dane. Daje to atakującym dwie dźwignie nacisku: ofiary ryzykują utratę dostępu do swoich systemów, a dodatkowo ryzykują wyciek lub sprzedaż skradzionych danych, jeśli nie zapłacą.

Opisane mechanizmy rozprzestrzeniania sprawiają, że Qilin jest szczególnie pouczający dla zwykłych czytelników. Ujawnione dane uwierzytelniające oznaczają nazwy użytkowników i hasła, które wyciekły, zostały ponownie użyte lub nigdy nie były odpowiednio zabezpieczone. Niezałatane oprogramowanie oznacza znane luki w zabezpieczeniach, których organizacje po prostu jeszcze nie naprawiły. Zaufane połączenia odnoszą się do legalnego dostępu do sieci, takiego jak narzędzia dostępu zdalnego, loginy dostawców lub wewnętrzne relacje zaufania, które atakujący przejmują, zamiast pokonywać je siłą. Żadna z tych metod nie wymaga zaawansowanych umiejętności hakerskich. Wymagają cierpliwości i wiedzy, że większość organizacji i większość ludzi jest niekonsekwentna w kwestii podstawowej higieny bezpieczeństwa.

Które firmy i usługi konsumenckie zostały zaatakowane

Doniesienia o działalności Qilin określają potwierdzoną liczbę ofiar grupy na 1358, co jest opisywane jako nowy rekord dla tej operacji. Ta skala plasuje Qilin wśród bardziej płodnych operacji ransomware śledzonych w obecnym krajobrazie zagrożeń. Liczba ta nie oddaje jednak stojącego za nią wpływu na ludzi: każdy wpis na tej liście reprezentuje organizację, a co za tym idzie – pracowników, klientów i partnerów, których dane i działalność zostały zakłócone.

Tutaj właśnie szerszy wzorzec staje się istotny. Grupy ransomware nie muszą celować w konkretną, znaną markę, aby wyrządzić realne szkody. Firmy średniej wielkości, dostawcy usług i podwykonawcy połączeni z większymi organizacjami są często atakowani właśnie dlatego, że są łatwiejszymi celami, posiadającymi te same cenne dane lub dostęp do sieci. Rekordowa liczba ofiar, jak w przypadku Qilin, mniej dotyczy pojedynczego głośnego ataku, a bardziej skali: wykorzystywania tych samych przewidywalnych słabości w jak największej liczbie organizacji.

W jaki sposób skompromitowane systemy pracodawcy zagrażają Twoim danym

Gdy ransomware infekuje systemy pracodawcy, konsekwencje rzadko ograniczają się do działu IT. Jeśli sieć Twojego pracodawcy zostanie naruszona przez ujawnione dane uwierzytelniające lub niezałatany system, Twoje dane osobowe, informacje płacowe, dokumentacja medyczna związana z benefitami, a nawet dane klientów, którymi zarządzasz na co dzień, mogą zostać skradzione wraz z plikami firmowymi. Ponieważ model Qilin obejmuje kradzież danych, a nie tylko szyfrowanie, ryzyko wykracza poza przestoje. Skradzione dane mogą zostać upublicznione lub sprzedane, narażając pracowników i klientów na kradzież tożsamości i kolejne oszustwa długo po ustąpieniu pierwotnego incydentu.

Kradzież danych uwierzytelniających i socjotechnika są często punktem wejścia, który w ogóle umożliwia te masowe naruszenia. Atak vishingowy na Cushman & Wakefield, gdzie atakujący użyli phishingu głosowego, aby zdobyć dane logowania i rzekomo uzyskali dostęp do setek tysięcy rekordów, jest wyraźnym przykładem tego, jak pojedynczy skompromitowany login lub przekonująca rozmowa telefoniczna mogą przerodzić się w ogromny wyciek danych. Grupy ransomware, takie jak Qilin, prosperują w tym samym środowisku: gdziekolwiek dane uwierzytelniające są ujawnione lub słabo chronione, atakujący mają otwarte drzwi.

Praktyczne kroki, aby chronić się przed skutkami ransomware

Nie musisz być specjalistą ds. bezpieczeństwa, aby zmniejszyć swoją ekspozycję na takie incydenty. Kilka nawyków robi znaczącą różnicę:

  • Używaj unikalnych, silnych haseł do każdego konta, zwłaszcza służbowego, i włącz menedżera haseł, jeśli pracodawca na to pozwala.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest ono oferowane, ponieważ blokuje to większość ataków opierających się wyłącznie na skradzionych danych uwierzytelniających.
  • Aktualizuj oprogramowanie na każdym urządzeniu używanym do pracy, w tym na telefonach i prywatnych laptopach podłączonych do systemów firmowych.
  • Podchodź sceptycznie do nieoczekiwanych telefonów, SMS-ów lub e-maili z prośbą o weryfikację danych logowania lub zresetowanie hasła – jest to taktyka często używana do wyłudzania danych logowania.
  • Natychmiast zgłaszaj podejrzane monity logowania lub aktywność na koncie swojemu zespołowi IT lub bezpieczeństwa, zamiast zakładać, że to fałszywy alarm.

Co to oznacza dla Ciebie

Rekordowa liczba ofiar Qilin przypomina, że porady dotyczące ochrony przed ransomware to nie tylko polityka korporacyjna, ale osobista praktyka. Łańcuch ataku stojący za takimi incydentami zazwyczaj zaczyna się od czegoś, czemu mogła zapobiec pojedyncza osoba: ponownie użytego hasła, pominiętej aktualizacji lub chwili zaufania okazanej niewłaściwemu rozmówcy lub e-mailowi. Możesz nie kontrolować harmonogramu łatania systemów u swojego pracodawcy, ale kontrolujesz higienę własnych danych uwierzytelniających, a to samo w sobie może zamknąć jedną z najczęstszych ścieżek wykorzystywanych przez atakujących.

Szerszy wniosek jest taki, że grupy ransomware, takie jak Qilin, nie polegają na rzadkich, wyrafinowanych exploitach, aby uderzyć w ponad tysiąc ofiar. Polegają na przewidywalnych lukach, którym można zapobiec. Traktuj każde logowanie jako potencjalny punkt wejścia, włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest dostępne i bądź czujny na próby socjotechniki, ponieważ kolejny rekordowy nagłówek o ransomware może zależeć od dokładnie tego rodzaju codziennych przeoczeń, które te porady dotyczące ochrony przed ransomware Qilin mają na celu wyeliminować.