Przyspieszenie ataków ransomware nie jest tym, czym się wydaje

Jeśli w ciągu ostatniego roku śledziliście nagłówki dotyczące ransomware, prawdopodobnie natknęliście się na wiele doniesień o sztucznej inteligencji wzmacniającej atakujących. Jednak według badaczy cytowanych w niedawnym raporcie Dark Reading, prawdziwa historia stojąca za przyspieszeniem ataków ransomware jest znacznie mniej spektakularna i dużo bardziej strukturalna. Winowajcami są fragmentacja ekosystemu ransomware, fala nowych i niedoświadczonych atakujących wkraczających na scenę oraz celowe rozszerzanie celów na organizacje o słabszej obronie.

Ma to znaczenie, ponieważ narracja o ransomware napędzanym przez sztuczną inteligencję zdominowała dyskusję, czasami przysłaniając bardziej praktyczne, codzienne czynniki, które faktycznie narażają organizacje i osoby prywatne na ryzyko. Zrozumienie prawdziwych przyczyn wzrostu ransomware to pierwszy krok do ochrony siebie i swoich danych.

Dlaczego fragmentacja zmienia krajobraz zagrożeń

Przez lata operacje ransomware były zdominowane przez garstkę dużych, dobrze zorganizowanych grup prowadzących dopracowane platformy „ransomware-as-a-service”. Kiedy organy ścigania i presja międzynarodowa zakłóciły działanie niektórych z tych głównych operacji, rezultatem nie było zmniejszenie zagrożenia. Zamiast tego ekosystem rozpadł się na mniejsze, liczniejsze grupy i podmioty stowarzyszone, z których każda działała z mniejszym nadzorem i często mniejszą ostrożnością niż ich poprzednicy.

Ta fragmentacja oznacza, że jednocześnie aktywnych jest po prostu więcej atakujących, każdy prowadzi własne kampanie, testuje własne techniki i atakuje wszelkie ofiary, jakie uda im się znaleźć. Badacze wskazali na to rozdrobnienie jako główny powód przyspieszenia aktywności ransomware, a nie na pojedynczy skok technologiczny. Nowi gracze na scenie, często mniej doświadczeni niż zastąpione przez nich ugruntowane grupy, rekompensują to sobie ilością: zarzucając szerszą sieć i uderzając w więcej celów, częściej.

Zwrot w kierunku gorzej bronionych organizacji

Drugim głównym czynnikiem zidentyfikowanym w badaniu jest strategiczna zmiana celów wybieranych przez atakujących. Zamiast koncentrować się wyłącznie na dużych przedsiębiorstwach z dedykowanymi zespołami bezpieczeństwa, operatorzy ransomware coraz częściej rozszerzają działalność na organizacje, które historycznie miały mniej zasobów do obrony. Obejmuje to mniejsze firmy, regionalnych dostawców opieki zdrowotnej, samorządy lokalne i inne podmioty, które mogą nie mieć budżetu ani personelu do utrzymania solidnych programów cyberbezpieczeństwa.

Ten trend ma realne konsekwencje dla prywatności. Organizacje przechowujące wrażliwe dane osobowe, czy to dokumentację medyczną, dane finansowe, czy informacje badawcze, stają się atrakcyjnymi celami właśnie dlatego, że łatwiej je naruszyć. Niedawny wyciek danych w Novo Nordisk, w którym atakujący twierdzili, że wykradli 1,3 terabajta danych z badań klinicznych, ilustruje, jak nawet organizacje przetwarzające wysoce wrażliwe informacje mogą zostać ujawnione, gdy atakujący zidentyfikują słaby punkt. W miarę jak grupy ransomware fragmentują się i mnożą, coraz więcej organizacji w coraz większej liczbie sektorów prawdopodobnie stanie w obliczu podobnego zagrożenia, po prostu dlatego, że więcej atakujących szuka okazji.

Oddzielanie szumu informacyjnego od rzeczywistości

Nie oznacza to, że sztuczna inteligencja nie odgrywa żadnej roli w szerszym obrazie cyberbezpieczeństwa. Jednak badacze stojący za tą konkretną analizą jasno stwierdzili, że obserwowane obecnie przyspieszenie aktywności ransomware to przede wszystkim nie historia o sztucznej inteligencji. To historia o dynamice rynku: więcej atakujących, niższe bariery wejścia i rosnąca pula podatnych celów. Przypisywanie gwałtownego wzrostu sztucznej inteligencji grozi odwróceniem uwagi organizacji od bardziej natychmiastowych i możliwych do rozwiązania problemów, takich jak przestarzałe procedury łatania, słabe kontrole dostępu i niewystarczające strategie tworzenia kopii zapasowych, które nadal są faktycznymi punktami wejścia wykorzystywanymi przez atakujących.

Co to oznacza dla Ciebie

Niezależnie od tego, czy prowadzisz małą firmę, zarządzasz IT w średniej wielkości organizacji, czy po prostu chcesz chronić swoje dane osobowe, to badanie przypomina, że zagrożenie ransomware raczej się poszerza, niż staje się bardziej egzotyczne. Nie musisz przygotowywać się jutro na ataki sztucznej inteligencji rodem z science fiction. Musisz upewnić się, że podstawy są na swoim miejscu już dziś.

Oznacza to utrzymywanie oprogramowania i systemów w załatanej wersji, używanie silnych i unikalnych haseł z uwierzytelnianiem wieloskładnikowym wszędzie tam, gdzie to możliwe, utrzymywanie kopii zapasowych offline lub niezmienialnych oraz ostrożność co do danych przechowywanych przez organizację i udostępnianych stronom trzecim. Jeśli jesteś klientem lub pacjentem organizacji, która przetwarza wrażliwe informacje, rozsądne jest zapytanie, jakie środki bezpieczeństwa stosują, szczególnie jeśli są mniejsi lub dysponują mniejszymi zasobami.

Praktyczne wnioski

  • Nie pozwól, by nagłówki o sztucznej inteligencji odwracały uwagę od podstawowej higieny bezpieczeństwa: łatanie, kopie zapasowe i kontrola dostępu wciąż mają największe znaczenie.
  • Mniejsze organizacje powinny zakładać, że są teraz atrakcyjnymi celami, a nie pomijanymi.
  • Osoby fizyczne powinny monitorować konta i dane osobowe pod kątem oznak wycieku, zwłaszcza po naruszeniach w organizacjach, z którymi mają kontakt.
  • Firmy powinny regularnie testować plany reagowania na incydenty, ponieważ rozdrobniony krajobraz atakujących oznacza więcej, a nie mniej potencjalnych zagrożeń.

Przyspieszenie ataków ransomware jest w równym stopniu zjawiskiem rynkowym, co technicznym. Bycie na bieżąco z tym, jak krajobraz zagrożeń faktycznie ewoluuje, a nie jak jest przedstawiany, to jeden z najskuteczniejszych sposobów na zachowanie ochrony.