Jak ransomware ewoluował od szyfrowania do kradzieży danych i wymuszeń

Przez lata ransomware działał według prostego schematu. Cyberprzestępcy włamywali się do sieci firmy, szyfrowali jej pliki i żądali zapłaty za klucz deszyfrujący. Jeśli ofiara miała solidne kopie zapasowe, często mogła przywrócić swoje systemy i odejść bez płacenia. Ta siatka bezpieczeństwa w dużej mierze zniknęła.

Współczesne grupy ransomware'owe przestawiły się na to, co badacze bezpieczeństwa nazywają podwójnym wymuszeniem. Zanim cokolwiek zablokują, atakujący po cichu kopiują poufne pliki, dane klientów, dane pracowników, dokumenty finansowe i wszystko inne, co ma wartość. Dopiero po zakończeniu kradzieży uruchamiają szyfrowanie. Oznacza to, że zapłata za klucz deszyfrujący nie rozwiązuje już prawdziwego problemu. Nawet jeśli firma przywróci swoje systemy z kopii zapasowych, skradzione dane wciąż gdzieś krążą, a przestępcy grożą ich publikacją lub sprzedażą, jeśli nie zostanie zapłacony drugi okup.

Ta zmiana ma znaczenie, ponieważ zmienia to, kim naprawdę jest ofiara. To już nie tylko dział IT zmagający się z przywróceniem serwerów. To każdy klient, pacjent lub pracownik, którego dane osobowe znajdowały się w bazie danych tej firmy. Obawy o prywatność związane z wymuszaniem danych przez ransomware wykraczają teraz daleko poza samą zaatakowaną organizację, docierając do każdego, komu kiedykolwiek powierzono swoje dane.

Kto jest narażony, gdy atak dotknie firmę, której ufasz

Gdy grupa ransomware'owa włamuje się do przedsiębiorstwa, narażenie nie kończy się na liście płac czy tajemnicach handlowych firmy. W zależności od celu skradzione dane mogą obejmować imiona i nazwiska, adresy, numery ubezpieczenia społecznego, dokumentację medyczną, dane logowania i szczegóły kont finansowych. Szczególnie często celem stają się placówki opieki zdrowotnej, ponieważ dokumentacja pacjentów ma wartość, a organizacje często znajdują się pod presją szybkiego rozwiązania incydentu. Wytyczne dotyczące ransomware Medusa dla organizacji opieki zdrowotnej dokładnie ilustrują, jak to przebiega, ze szczegółami agencji federalnych na temat tego, jak grupa infiltruje sieci, eksfiltruje wrażliwe dane i wywiera presję na ofiary groźbą publicznych wycieków.

Niepokojące dla konsumentów jest to, że rzadko masz kontrolę nad tym, które firmy przechowują Twoje dane i jak dobrze je chronią. Sprzedawca detaliczny, ubezpieczyciel, szpital, a nawet okręg szkolny mogą paść ofiarą ataku, a Twoje informacje mogą trafić na stronę z wyciekami miesiące lub lata po tym, jak miałeś styczność z tą organizacją. Możesz nawet nie wiedzieć, że Twoje dane były zaangażowane, dopóki nie otrzymasz powiadomienia o naruszeniu lub dopóki nie będzie za późno.

Kroki do podjęcia, jeśli Twoje dane pojawią się w wycieku ransomware'owym

Jeśli otrzymasz powiadomienie o naruszeniu lub odkryjesz swoje informacje w wycieku, potraktuj to jako sygnał do działania, a nie do paniki. Zacznij od ustalenia, jaki dokładnie rodzaj danych został ujawniony. Numery kont finansowych, numery ubezpieczenia społecznego i informacje medyczne wymagają innych reakcji niż sam ujawniony adres e-mail.

Natychmiast zmień hasła do wszystkich kont powiązanych z zaatakowaną organizacją i unikaj ponownego używania tego hasła gdziekolwiek indziej. Jeśli w grę wchodziły informacje finansowe lub tożsamościowe, rozważ ustawienie alertu o oszustwie lub zamrożenie kredytu w głównych biurach kredytowych. Uważnie monitoruj wyciągi bankowe i z karty kredytowej pod kątem nieznanej aktywności w tygodniach i miesiącach po incydencie, ponieważ skradzione dane są czasami sprzedawane i wykorzystywane długo po początkowym naruszeniu.

Warto również zgłosić incydent, zarówno firmie, której to dotyczy, jak i, w przypadku kradzieży tożsamości, odpowiednim organom ochrony konsumentów. Dokumentacja ma znaczenie, jeśli później będziesz musiał zakwestionować oszukańcze opłaty lub konta.

Zmniejszanie narażenia: VPN, higiena danych uwierzytelniających i zgłaszanie organom

Chociaż nie możesz kontrolować, czy firma, z którą miałeś do czynienia, padnie ofiarą ataku, możesz ograniczyć szkody, jakie naruszenie wyrządzi Tobie osobiście. Używanie unikalnych, silnych haseł do każdego konta w połączeniu z menedżerem haseł ogranicza zasięg rozprzestrzeniania się pojedynczego ujawnionego poświadczenia. Włączenie uwierzytelniania wieloskładnikowego dodaje kolejną barierę, nawet jeśli hasło zostanie ujawnione.

Atakujący coraz częściej polegają na skradzionych lub ponownie użytych poświadczeniach, aby uzyskać początkowy dostęp do sieci, zamiast na egzotycznym złośliwym oprogramowaniu. Niedawna fala incydentów pokazała, jak atakujący przejęli sesje Microsoft 365 poprzez nadużycie narzędzi zdalnego zarządzania, zamiast wykorzystywać lukę w oprogramowaniu, podkreślając, jak bardzo współczesne naruszenia zależą od codziennych punktów dostępu, takich jak logowania i narzędzia wsparcia, a nie od wyrafinowanego hakowania. VPN nie powstrzyma serwerów firmy przed naruszeniem, ale pomaga chronić Twoje własne połączenie przed przechwyceniem w sieciach publicznych i może zmniejszyć ilość danych osobowych ujawnianych podczas przeglądania, co ma większe znaczenie, gdy Twoje informacje krążą w coraz większej liczbie miejsc z powodu naruszeń poza Twoją kontrolą.

Jeśli podejrzewasz, że Twoja tożsamość została naruszona, zgłoszenie do odpowiedniego organu ds. cyberprzestępczości lub ochrony konsumentów w Twoim kraju tworzy oficjalny zapis i może pomóc w szerszych dochodzeniach dotyczących odpowiedzialnych grup przestępczych.

Co to oznacza dla Ciebie

Ransomware nie jest już problemem, który dotyczy tylko firm i ich zespołów IT. Ponieważ atakujący kradną teraz dane przed ich zaszyfrowaniem, zwykli ludzie stają się ofiarami ubocznymi w momencie, gdy firma przechowująca ich informacje padnie ofiarą ataku. Ryzyka dla prywatności związane z wymuszaniem danych przez ransomware oznaczają, że nawet organizacje z solidnymi systemami kopii zapasowych nie mogą w pełni chronić klientów i pacjentów, których dane zostały skradzione. Twoją najlepszą obroną jest założenie, że każde konto, jakie kiedykolwiek utworzyłeś, może ostatecznie zostać objęte naruszeniem, i odpowiednie przygotowanie się.

Praktyczne wnioski

  • Używaj unikalnych haseł i menedżera haseł, aby jedno ujawnione poświadczenie nie zagroziło wielu kontom.
  • Włączaj uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane.
  • Uważnie monitoruj powiadomienia o naruszeniach i wyciągi finansowe, i działaj szybko, jeśli Twoje dane pojawią się w wycieku.
  • Rozważ zamrożenie kredytu, jeśli ujawnione zostaną wrażliwe informacje tożsamościowe, takie jak numer ubezpieczenia społecznego.
  • Zgłaszaj podejrzenia kradzieży tożsamości lub oszustwa odpowiednim organom, aby utworzyć udokumentowany zapis.

Zrozumienie, jak ransomware ewoluował od uciążliwości z zablokowanym ekranem do pełnowymiarowego zagrożenia wymuszaniem danych, jest pierwszym krokiem do ochrony siebie w świecie, w którym Twoje dane osobowe są tak bezpieczne, jak najsłabsza firma, która je przechowuje.