Jaki odsetek osób zaatakowanych w analizowanej kampanii ransomware stanowili menedżerowie?

Prawie dwie trzecie, około 67%, zajmowało stanowiska kierownicze lub wyższe, według analizy ZDNET.

Dlaczego menedżerowie są szczególnie atakowani przez operatorów ransomware?

Menedżerowie często mają szeroki dostęp do danych operacyjnych, autoryzacji finansowych i systemów administracyjnych, a także otrzymują dużą liczbę e-maili zarówno od podwładnych, jak i od kierownictwa, co czyni phishing wysoce wiarygodnym.

Jak zmieniła się strategia ataków ransomware w porównaniu z wcześniejszymi kampaniami?

Atakujący przestali dążyć do największych okupów poprzez atakowanie członków zarządu (C-suite), a skupili się na menedżerach średniego szczebla, szczególnie w dziedzinie IT, operacji lub finansów, którzy mają praktyczny dostęp do kluczowych systemów przy mniejszym nadzorze bezpieczeństwa.

Jakie zagrożenia dla prywatności stwarzają te ataki dla pracowników, którzy nie są bezpośrednio celem?

Skontaminowane konta menedżerów mogą ujawnić poufne dane pracownicze, takie jak oceny okresowe, informacje o wynagrodzeniach i dane dotyczące zdrowia, powodując incydent związany z prywatnością danych, który dotyka wielu pracowników, którzy sami nigdy nie kliknęli złośliwego linku.

Które konkretne role menedżerskie są najbardziej narażone w tej kampanii?

Menedżerowie średniego szczebla w dziedzinie IT, operacji lub finansów są głównymi celami, ponieważ posiadają praktyczne klucze do krytycznych systemów, nie mając przy tym takiego samego poziomu dedykowanych zasobów bezpieczeństwa, jakie przeznacza się dla członków zarządu.

Kampania ransomware celuje w menedżerów w dwóch trzecich przypadków

Menedżerowie są teraz preferowanym punktem wejścia dla ransomware

Nowa analiza pojedynczej kampanii ransomware wykazała, że prawie dwie trzecie zaatakowanych osób zajmowało stanowiska kierownicze lub wyższe. Ta statystyka, podana przez ZDNET, oznacza zauważalną zmianę w sposobie, w jaki operatorzy ransomware wybierają swoje ofiary. Zamiast zarzucać szeroką sieć na całą siłę roboczą, atakujący wydają się celowo wybierać osoby z podwyższonym dostępem, uprawnieniami decyzyjnymi lub jednym i drugim.

To nie tylko ciekawostka dla zespołów bezpieczeństwa. Ma to realne konsekwencje dla prywatności pracowników, wrażliwości danych, które kontrolują ci menedżerowie, oraz dla sposobu, w jaki organizacje myślą o tym, kto naprawdę wymaga najpilniejszego przeszkolenia i ochrony.

Dlaczego menedżerowie stali się głównymi celami

Logika stojąca za tą zmianą jest prosta, gdy weźmie się pod uwagę, do czego menedżer zazwyczaj ma dostęp. Menedżerowie często znajdują się na styku danych operacyjnych, dokumentacji kadrowej, autoryzacji finansowych i uprawnień administracyjnych w wielu systemach. Przejęcie jednego konta może dać atakującemu znacznie szerszy przyczółek niż przejęcie konta pracownika pierwszej linii.

Odzwierciedla to schemat, który badacze bezpieczeństwa już sygnalizowali gdzie indziej. Jak opisano w powiązanym raporcie o tym, jak gangi ransomware atakują teraz menedżerów IT zamiast dyrektorów generalnych, atakujący odeszli od założenia, że największy okup uzyskuje się, uderzając w sam szczyt struktury organizacyjnej. Zamiast tego menedżerowie średniego szczebla, szczególnie w IT, operacjach lub finansach, często dysponują praktycznymi kluczami do krytycznych systemów, bez takiego samego poziomu kontroli ani zasobów bezpieczeństwa, jakie zazwyczaj są zarezerwowane dla członków zarządu.

Menedżerowie są również atrakcyjni, ponieważ znajdują się w newralgicznym punkcie komunikacji. Otrzymują dużą liczbę e-maili zarówno od podwładnych, jak i od kierownictwa wyższego szczebla, co sprawia, że próby phishingu podszywające się pod każdą z tych stron są wiarygodne. Wiadomość, która wygląda na pochodzącą od bezpośredniego podwładnego z prośbą o akceptację lub od przełożonego z żądaniem pilnego działania, jest dokładnie tym rodzajem socjotechniki, który wykorzystuje codzienną rutynę menedżera.

Konsekwencje dla prywatności, o których nikt nie mówi

W doniesieniach o ransomware często ginie kwestia narażenia prywatności osobistej związanej z tymi atakami. Menedżerowie często mają dostęp do wrażliwych informacji o pracownikach: ocen okresowych, danych o wynagrodzeniach, dokumentacji dyscyplinarnej, a czasem także szczegółów dotyczących zdrowia lub rodziny udostępnianych podczas rozmów indywidualnych. Gdy konto lub urządzenie menedżera zostanie przejęte, dane osobowe należące do członków jego zespołu również stają się narażone, nie tylko własność intelektualna firmy czy dokumentacja finansowa.

Tworzy to efekt domina. Atak, który zaczyna się jako incydent ransomware wymierzony w jednego menedżera, może po cichu przekształcić się w incydent naruszenia prywatności danych, dotykając dziesiątki pracowników, którzy sami nigdy nie kliknęli złośliwego linku. Organizacje oceniające swoje zabezpieczenia przed ransomware muszą uwzględnić tę dodatkową warstwę narażenia, szczególnie w świetle przepisów o ochronie danych, które nakładają na firmy odpowiedzialność za ochronę informacji o pracownikach, niezależnie od tego, jak doszło do naruszenia.

Sześć praktycznych kroków w celu zmniejszenia ryzyka

Zastosuj zasadę najmniejszych uprawnień do kont menedżerskich. Menedżerowie powinni mieć dostęp tylko do tych systemów i danych, których faktycznie potrzebują do pełnienia swojej roli, a nie do ogólnego dostępu odziedziczonego po stanowisku.
Używaj osobnych danych uwierzytelniających do zadań administracyjnych. Jeśli menedżer potrzebuje okazjonalnie podwyższonego dostępu, powinien on wymagać osobnego loginu, a nie tego samego codziennego konta e-mail.
Nadaj priorytet szkoleniom z symulacji phishingu specjalnie dla szczebli menedżerskich. Ogólne szkolenie dla całego personelu jest przydatne, ale menedżerowie mają do czynienia z bardziej ukierunkowanymi i przekonującymi przynętami, a ich szkolenie powinno to odzwierciedlać.
Wymuszaj uwierzytelnianie wieloskładnikowe wszędzie, bez wyjątków dla wygody. Atakujący celujący w menedżerów liczą na szybsze zatwierdzanie i mniej przeszkód; MFA zamyka tę lukę.
Segmentuj sieci tak, aby pojedyncze przejęte konto nie miało dostępu do wszystkiego. Ograniczenie ruchu bocznego zmniejsza szkody, jakie może wyrządzić jedna skradziona tożsamość.
Utrzymuj przetestowane, odłączone kopie zapasowe krytycznych danych. Nawet jeśli atak się powiedzie, solidny plan odzyskiwania zmniejsza przewagę operatorów ransomware podczas negocjacji.

Co to oznacza dla Ciebie

Jeśli jesteś menedżerem, ten raport jest bezpośrednim sygnałem, że twoja skrzynka odbiorcza i konta niosą ze sobą większe ryzyko, niż mogłeś przypuszczać. Warto zapytać swój zespół IT lub bezpieczeństwa, czy twoje uprawnienia dostępu odpowiadają temu, z czego faktycznie korzystasz na co dzień, oraz czy otrzymujesz szkolenia dostosowane do rodzajów ukierunkowanych prób phishingu, z którymi konkretnie spotykają się menedżerowie.

Jeśli nadzorujesz politykę bezpieczeństwa, jest to powód, aby ponownie przeanalizować, kto jest szkolony najintensywniej i jak rozdzielane są uprawnienia do kont w warstwie zarządzania w twojej organizacji. Dane sugerują, że ransomware atakuje menedżerów nie losowo, ale ze względu na to, do czego daje im dostęp ich stanowisko.

Podsumowanie

Fakt, że ransomware atakuje teraz menedżerów w tak nieproporcjonalnym stopniu, powinien zmienić sposób, w jaki organizacje traktują priorytety w szkoleniach z zakresu bezpieczeństwa i kontroli dostępu. Nie chodzi o zakładanie, że każdy menedżer jest słabym ogniwem, ale o uznanie, że jego pozycja w strukturze organizacyjnej czyni go wartościowym celem, niezależnie od intencji czy świadomości. Przegląd uprawnień dostępu, zaostrzenie wymogów uwierzytelniania i prowadzenie szkoleń dostosowanych do roli to praktyczne kroki, które każda organizacja może podjąć już teraz, nie czekając na incydent, który wymusi tę kwestię.