Co pokazują nowe dane o powtarzających się wymuszeniach ransomware’owych

Nowe dane podane przez Connora Jonesa z DataBreaches.Net potwierdzają to, co badacze bezpieczeństwa podejrzewali od lat: zapłacenie gangowi ransomware’owemu nie kończy gehenny – często oznacza jedynie początek drugiej rundy. Zgodnie z danymi ankietowymi przytoczonymi w raporcie, 58 procent dotkniętych atakami brytyjskich organizacji zdecydowało się w ubiegłym roku zapłacić okup. Spośród tych, które zapłaciły, 22 procent zostało ponownie zaatakowanych przez tę samą lub inną grupę przestępczą żądającą drugiej płatności.

Oznacza to, że mniej więcej jedna na pięć organizacji, które podjęły trudną decyzję o zapłaceniu, nie otrzymała w zamian nic trwałego. Cykl wymuszeń po prostu resetował się, czasem w ciągu kilku tygodni. Ten schemat powtarzających się płatności okupu staje się cechą definiującą obecny krajobraz zagrożeń i zmusza zespoły bezpieczeństwa oraz kadrę kierowniczą do ponownego przemyślenia całego rachunku zysków i strat, czy zapłacenie jest kiedykolwiek racjonalną reakcją.

Dlaczego jednorazowa zapłata prowokuje drugi atak

Logika stojąca za ponownymi wymuszeniami jest z perspektywy przestępców prosta. Gdy organizacja pokazuje, że jest skłonna zapłacić, staje się oznaczonym celem. Operatorzy ransomware’u prowadzą rejestry, które ofiary uległy, jak szybko zapłaciły i jaką kwotę były gotowe przekazać. Informacje te często krążą w sieciach afiliacyjnych i bywają sprzedawane lub udostępniane między grupami przestępczymi działającymi w modelu ransomware-as-a-service.

Ofiara, która płaci raz 500 000 dolarów, skutecznie sygnalizuje, że ma zarówno rezerwy gotówkowe, jak i tolerancję na ryzyko, by zapłacić ponownie. Atakujący wiedzą, że drugie włamanie, nawet mniej wyrafinowane, ma duże szanse powodzenia, jeśli podstawowe luki, które umożliwiły pierwsze naruszenie, nigdy nie zostały w pełni usunięte. W wielu przypadkach podwójnych i potrójnych wymuszeń skradzione dane nie są nawet usuwane po zapłaceniu okupu, wbrew obietnicom, pozostawiając otwarte drzwi dla kolejnych żądań opartych na groźbie publikacji tych samych skradzionych informacji.

Właśnie dlatego organy ścigania, w tym FBI, konsekwentnie odradzają płacenie okupów. Zapłata nie gwarantuje odzyskania danych, nie gwarantuje usunięcia skradzionych plików i, jak pokazują te nowe dane, nie gwarantuje, że atakujący dadzą spokój.

Proaktywne zabezpieczenia zmniejszające ryzyko ransomware’u

Jeśli płacenie nie rozwiązuje problemu w niezawodny sposób, bardziej zrównoważoną ścieżką jest zmniejszenie szans na udane naruszenie w pierwszej kolejności. Kilka warstw obronnych konsekwentnie pojawia się w wynikach analiz powłamaniowych jako różnica między incydentem ograniczonym a katastrofalnym.

Segmentacja sieci ogranicza zasięg ruchu atakującego po uzyskaniu pierwszego przyczółka. Zamiast jednej płaskiej sieci, w której pojedyncze skompromitowane poświadczenie otwiera dostęp do wszystkiego, segmentowane środowiska zmuszają atakujących do walki o każdy dodatkowy centymetr, dając obrońcom czas na wykrycie i reakcję.

Kontrola dostępu w modelu zero-trust zakłada, że żaden użytkownik ani urządzenie nie są automatycznie godni zaufania, nawet wewnątrz firmowego perymetru. Każde żądanie dostępu jest weryfikowane, co znacznie utrudnia samym skradzionym poświadczeniom odblokowanie krytycznych systemów.

Niezawodne, przetestowane i odłączone od sieci kopie zapasowe pozostają jedną z najskuteczniejszych dostępnych metod obrony przed ransomware’em. Zaszyfrowane pliki przestają być kartą przetargową, gdy organizacja może przywrócić działanie z czystych kopii zapasowych bez negocjowania z kimkolwiek. Kluczowe słowo to przetestowane: kopie zapasowe, które nie zostały zweryfikowane poprzez rzeczywiste ćwiczenia przywracania, często zawodzą dokładnie wtedy, gdy są najbardziej potrzebne.

Uwierzytelnianie wieloskładnikowe, terminowe łatanie systemów dostępnych z internetu oraz ciągłe monitorowanie pod kątem nietypowego ruchu bocznego dopełniają podstawy, które oddzielają organizacje szybko odzyskujące sprawność od tych, które w końcu stają w obliczu drugiego żądania okupu.

Co organizacje powinny robić zamiast płacić

Gdy dochodzi do incydentu ransomware’owego, instynkt, by szybko zapłacić i sprawić, że problem zniknie, jest zrozumiały – zwłaszcza pod presją klientów, regulatorów lub zarządu domagającego się szybkiego rozwiązania. Jednak dane o ponownych wymuszeniach jasno pokazują, że płatność nie jest niezawodną strategią wyjścia. Organizacje zyskują więcej, angażując odpowiednio wcześnie organy ścigania, włączając specjalistów od reagowania na incydenty, którzy mogą ocenić rzeczywisty zakres wycieku danych, oraz zachowując przejrzystość wobec dotkniętych interesariuszy, zamiast zakładać, że cicha zapłata sprawi, że sprawa zniknie.

Co to oznacza dla Ciebie

Niezależnie od tego, czy zarządzasz IT dla małej firmy, czy nadzorujesz politykę bezpieczeństwa w większej organizacji, dane te stanowią wyraźny sygnał do realokacji priorytetów. Środki zarezerwowane na fundusze awaryjne na okup znacznie lepiej wydać na projekty segmentacji, wdrożenia zero-trust i infrastrukturę kopii zapasowych, która jest regularnie testowana. Polisy ubezpieczeń cybernetycznych i umowy retainerowe w zakresie reagowania na incydenty również powinny zostać przeanalizowane, aby upewnić się, że kładą nacisk na zdolność do zapobiegania i odzyskiwania, a nie tylko na pokrycie wypłaty okupu.

Dla osób indywidualnych przesłanie jest podobne, tylko na mniejszą skalę: silne, unikalne hasła, uwierzytelnianie wieloskładnikowe i regularne kopie zapasowe urządzeń osobistych i rodzinnych zmniejszają ryzyko, że pojedyncza infekcja ransomware’owa stanie się powtarzającym się koszmarem.

Praktyczne wnioski do działania

  • Traktuj płacenie okupu jako ostateczność, a nie plan pierwszej reakcji; dane pokazują, że często nie kończy to zagrożenia.
  • Inwestuj w segmentację sieci, aby pojedyncze skompromitowane konto nie mogło ujawnić całego środowiska.
  • Przyjmij zasady zero-trust dla dostępu wewnętrznego i zdalnego, weryfikując każde żądanie zamiast polegać wyłącznie na lokalizacji w sieci.
  • Utrzymuj odłączone od sieci, regularnie testowane kopie zapasowe, aby odzyskiwanie nie zależało od negocjacji z przestępcami.
  • Zbuduj plan reagowania na incydenty teraz, zanim dojdzie do ataku, aby decyzje nie były podejmowane w panice i pod presją.

Wzrost liczby powtarzających się wymuszeń ransomware’owych jest mocnym argumentem za przesunięciem zasobów z reaktywnych negocjacji na proaktywną obronę. Organizacje, które dokonają tej zmiany teraz, będą w znacznie lepszej sytuacji niż te, które wciąż liczą, że pojedyncza zapłata sprawi, że problem zniknie.