Prawdziwy mechanizm zysku w ransomware to nie szyfrowanie

Przez lata obrona przed ransomware koncentrowała się na jednym momencie: chwili, gdy pliki zostają zablokowane. Jednak nowe ustalenia opisane przez The National CIO Review jasno pokazują, że szyfrowanie jest często najmniej wartościową częścią ataku ransomware dla stojących za nim przestępców. Prawdziwy zysk pochodzi z kradzieży danych i nie kończy się w momencie zapłacenia okupu czy przywrócenia systemów.

Zgodnie z raportem 54% dotkniętych organizacji zapłaciło okup. Samo w sobie nie jest to zaskakujące, biorąc pod uwagę, jak bardzo zaszyfrowane systemy utrudniają działanie. Uwagę zwraca jednak to, co wydarzyło się później: 37% organizacji, które zapłaciły, otrzymało następnie kolejne żądanie od tego samego lub innego napastnika. Innymi słowy, ponad jedna trzecia ofiar, które sądziły, że sprawa jest zamknięta, znalazła się z powrotem w punkcie wyjścia, ponownie negocjując w sprawie tych samych skradzionych danych.

Dlaczego skradzione dane wciąż przynoszą zyski atakującym

Gdy atakujący wykradną dane przed wdrożeniem szyfrowania, zyskują wiele oddzielnych strumieni przychodów, które nie zależą od tego, czy systemy ofiary pozostaną zablokowane. W raporcie wymieniono kilka z nich:

  • Groźby ujawnienia publicznego: atakujący grożą wyciekiem wrażliwych plików, jeśli nie zostanie dokonana druga płatność, nawet po opłaceniu pierwotnego okupu za klucze deszyfrujące.
  • Odsprzedaż skradzionych danych: informacje są sprzedawane na przestępczych rynkach innym podmiotom, niezależnie od tego, czy pierwotna ofiara cokolwiek zapłaciła.
  • Wykorzystywanie poświadczeń: nazwy użytkowników, hasła i tokeny dostępu znalezione w skradzionych plikach są używane ponownie, aby naruszyć inne konta lub systemy, czasem w organizacjach partnerskich lub u dostawców.
  • Ataki następcze: szczegóły zebrane podczas naruszenia, takie jak diagramy sieci, umowy z dostawcami czy wewnętrzna komunikacja, ułatwiają przyszłe włamania i czynią je bardziej ukierunkowanymi.

Dlatego badacze bezpieczeństwa coraz częściej opisują współczesny ransomware jako problem kradzieży danych z dołączonym szyfrowaniem, a nie odwrotnie. Szyfrowanie zakłóca działanie na dni lub tygodnie. Skradzione dane można wykorzystywać jako broń przez miesiące lub lata.

Niedawnym przykładem tej dynamiki, który rozegrał się publicznie, był wyciek w Tata Electronics, który ujawnił tajemnice iPhone’a 18 Pro, gdzie grupa ransomware nazywająca siebie World Leaks opublikowała wrażliwe informacje o niezapowiedzianych produktach po uzyskaniu dostępu do wewnętrznych systemów. Takie przypadki pokazują, jak skradzione dane korporacyjne zachowują wartość dla atakujących długo po pierwotnym włamaniu i jak same groźby ujawnienia mogą stawiać organizacje przed trudnymi decyzjami, nawet bez działającego ładunku szyfrującego.

Dlaczego zapłata nie gwarantuje końca historii

Odsetek powtórnych żądań na poziomie 37% zasługuje na szczególną uwagę, ponieważ podważa powszechne założenie: że zapłacenie okupu zamyka incydent. W rzeczywistości, gdy dane opuszczą sieć organizacji, ofiara nie ma możliwości zweryfikowania, czy kopie zostały zniszczone, czy atakujący nie odsprzeda informacji ani czy inna grupa nie weszła już w posiadanie tych samych plików. Zapłata rozwiązuje problem szyfrowania. Nie robi nic, by rozwiązać problem kradzieży danych, ponieważ w momencie ich eksfiltracji dane te są już poza kontrolą ofiary.

Ma to bezpośrednie przełożenie na sposób myślenia organizacji o gotowości na ransomware. Planowanie tworzenia kopii zapasowych i odzyskiwania ma znaczenie dla przywrócenia systemów do działania, ale nie zapobiega wyciekowi, odsprzedaży ani kolejnej próbie wymuszenia. Zapobieganie eksfiltracji poprzez segmentację sieci, ścisłą kontrolę dostępu i minimalizację ilości wrażliwych danych, które są przechowywane lub dostępne, ma równie duże znaczenie, co planowanie odzyskiwania.

Co to oznacza dla Ciebie

Niezależnie od tego, czy zarządzasz IT w małej firmie, czy po prostu chronisz własne konta, wniosek z tych danych jest taki sam: zakładaj, że każde naruszenie z udziałem Twoich informacji może skutkować długotrwałym ryzykiem, a nie pojedynczym incydentem. Jeśli firma, z którą masz do czynienia, ujawni atak ransomware, traktuj to jako ryzyko otwarte w czasie. Ponownie używane hasła, stare dane logowania i dane osobowe powiązane z tym naruszeniem mogą pojawić się ponownie w próbach wypełniania poświadczeń (credential stuffing) lub oszustwach następczych długo po tym, gdy nagłówki gazet przestaną o tym pisać.

Dla organizacji przesłaniem jest traktowanie minimalizacji danych i segmentacji sieci jako podstawowych mechanizmów obrony przed ransomware, a nie refleksji po fakcie. Ograniczenie tego, jakie wrażliwe dane są dostępne z pojedynczego przejętego punktu, zmniejsza ilość danych, które atakujący mogą ukraść, nawet jeśli już dostaną się do środka.

Wnioski do wdrożenia

  • Używaj unikalnych haseł do każdego konta i zmieniaj je, jeśli otrzymasz powiadomienie o naruszeniu z udziałem Twoich danych, nawet wiele miesięcy później.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie to możliwe, aby osłabić wartość skradzionych poświadczeń.
  • Jeśli prowadzisz firmę, przeprowadź audyt przechowywanych wrażliwych danych i tego, kto ma do nich dostęp; mniej eksponowanych danych oznacza mniejszą dźwignię nacisku dla atakujących.
  • Nie zakładaj, że incydent ransomware się zakończył po zapłaceniu okupu lub przywróceniu systemów. Monitoruj oznaki wycieku danych lub ponownych prób wymuszenia.
  • Segmentuj sieci tak, aby pojedyncze przejęte urządzenie lub konto nie mogły narazić całego środowiska danych.

Największą przewagą ransomware nie jest głośne szyfrowanie, ale cicha kradzież danych, która ma miejsce wcześniej i która generuje wartość dla atakujących długo po tym, jak pierwotny kryzys wydaje się zażegnany.