Według doniesień ransomware wzrósł o prawie 50%, a małe firmy ponoszą większość strat. To, co utrudnia zarządzanie tym trendem, to zmiana taktyki. Sprawy kradzieży danych przez ransomware i wymuszeń wobec małych firm coraz częściej dotyczą atakujących, którzy nie szyfrują ani jednego pliku. Kradną dane, a następnie grożą ich publikacją lub sprzedażą, jeśli nie otrzymają zapłaty.

Artykuł źródłowy powołuje się na NordLayer, opisując tę zmianę: coraz więcej grup wymuszających pomija szyfrowanie i po prostu kradnie dane, a następnie grozi ofierze. Pełny tekst, do którego mamy dostęp, jest krótki, więc ten wpis trzyma się tych punktów i powszechnie rozumianych praktyk bezpieczeństwa, zamiast dodawać liczby, których nie możemy zweryfikować.

Dlaczego kopie zapasowe nie powstrzymują już wymuszeń

Klasyczny atak ransomware blokował pliki i sprzedawał klucz do ich odzyskania. Dobre kopie zapasowe były odpowiedzią: przywróć systemy i idź dalej. Ta rada wciąż ma znaczenie, ale rozwiązuje tylko połowę współczesnego problemu.

Gdy atakujący kradną dane zamiast je szyfrować, po Twojej stronie nic nie jest zepsute. Twoje systemy mogą działać normalnie. Dźwignia nacisku wynika z tego, co przestępcy teraz posiadają: rekordy klientów, informacje o pracownikach, umowy, dane finansowe. Przywrócenie z kopii zapasowej nic nie robi, by odebrać im tę kopię.

Dlatego w takich przypadkach nota okupowa jest zbudowana wokół ujawnienia, a nie przestoju. Groźba polega na tym, że Twoi klienci, partnerzy lub organy regulacyjne dowiedzą się, co zostało skradzione. Kopie zapasowe chronią dostępność. Nie chronią poufności.

Dlaczego małe firmy ponoszą największy ciężar

Artykuł opisuje małe firmy jako ponoszące większość wzrostu. Chociaż nie możemy niezależnie rozłożyć przyczyn na podstawie tekstu źródłowego, w kręgach bezpieczeństwa dobrze rozpoznaje się kilka powszechnych czynników:

  • Mniej dedykowanego personelu ds. bezpieczeństwa. Wiele małych firm polega na jednym specjaliście IT ogólnego przeznaczenia lub zewnętrznym dostawcy.
  • Płaskie sieci i współdzielony dostęp. W mniejszych środowiskach jedno przejęte konto może często dotrzeć do wielu danych.
  • Presja, by zapłacić szybko. Fabryka, która nie może działać, lub klinika, która obawia się wycieku, może czuć, że nie stać jej na długie odzyskiwanie.

Wymuszanie przez kradzież danych obniża też wysiłek atakujących. Pominięcie szyfrowania oznacza mniej kroków i mniej szumu, co może utrudnić wykrycie włamania, zanim pojawi się żądanie.

Zabezpieczenia, które ograniczają to, co złodzieje mogą zabrać

Jeśli celem jest ograniczenie tego, co można ukraść, fokus obronny przesuwa się z samego odzyskiwania na kontrolę nad danymi. Praktyczne kroki obejmują:

  1. Wiedz, co przechowujesz. Zinwentaryzuj dane klientów, pracowników i dane finansowe oraz usuń to, czego już nie potrzebujesz. Dane, których nie posiadasz, nie mogą wyciec.
  2. Ogranicz dostęp. Przyznaj każdej osobie dostęp tylko do tego, czego wymaga jej praca, i usuwaj konta, gdy ludzie odchodzą.
  3. Używaj uwierzytelniania wieloskładnikowego. Skradzione hasła to powszechna droga wejścia, a drugi składnik podnosi poprzeczkę.
  4. Segmentuj sieć. Oddziel systemy wrażliwe, aby jedno naruszenie nie ujawniło wszystkiego.
  5. Szyfruj wrażliwe dane w spoczynku. Skradzione pliki, które są odpowiednio zaszyfrowane, są znacznie mniej użyteczne dla złodzieja.
  6. Monitoruj nietypowe transfery. Duży lub dziwny ruch danych wychodzących może być wczesnym sygnałem ostrzegawczym.
  7. Miej przetestowane kopie zapasowe offline. Ataki szyfrujące nie zniknęły, a grupy mogą łączyć obie metody.
  8. Przygotuj plan reagowania na incydenty. Z góry zdecyduj, do kogo dzwonić, w tym do radcy prawnego i dostawcy IT, zanim pojawi się presja.

Aby zobaczyć, jak duża operacja ransomware przechodzi od wejścia do wymuszenia, analiza LockBit 3.0 obejmująca 2000 ofiar w 95 krajach mapuje pełny łańcuch ataku i pokazuje, gdzie obrońcy mogą go przerwać.

Gdzie pasuje VPN, a gdzie nie

VPN może być użyteczną częścią konfiguracji małej firmy, ale nie jest lekarstwem na ransomware. Jego główna wartość polega na ochronie ruchu między pracownikami zdalnymi a zasobami firmy, zwłaszcza w sieciach publicznych lub niezaufanych, oraz na ograniczaniu ekspozycji usług wewnętrznych na otwarty internet.

Czego VPN nie robi, to nie powstrzymuje phishingu, nie naprawia niezałatanych programów ani nie zapobiega temu, by pracownik z ważnymi poświadczeniami został oszukany i je przekazał. Jeśli atakujący zaloguje się skradzionymi poświadczeniami, VPN może mu nawet zapewnić wygodną ścieżkę do wnętrza. Nie szyfruje też plików leżących na Twoich serwerach ani nie obserwuje danych opuszczających Twoją sieć.

Myśl o VPN jako o jednej warstwie spośród kilku. Działa najlepiej w połączeniu z silnym uwierzytelnianiem, łataniem, kontrolą dostępu i monitorowaniem.

Co to oznacza dla Ciebie

Jeśli prowadzisz małą firmę lub w niej pracujesz, zakładaj, że posiadanie kopii zapasowych już nie wystarcza. Pytanie brzmi nie tylko „Czy możemy się odzyskać?”, ale także „Co ktoś mógłby ukraść i co by się stało, gdyby to opublikował?”

Małe zespoły nie potrzebują budżetów enterprise, by poprawić swoją pozycję. Ograniczenie ilości przechowywanych danych wrażliwych, zaostrzenie tego, kto może do nich dotrzeć, i włączenie uwierzytelniania wieloskładnikowego adresują dokładnie tę dźwignię, którą ciągną grupy wymuszające. Traktuj każdy VPN jako narzędzie wspierające, a nie sam plan.

Najważniejsze wnioski

  • Według doniesień ransomware wzrósł o prawie 50%, a małe firmy zostały dotknięte najmocniej.
  • Więcej grup kradnie dane bez ich szyfrowania, więc same kopie zapasowe nie rozwiążą żądania wymuszenia.
  • Ogranicz ekspozycję, minimalizując przechowywane dane, ograniczając dostęp i szyfrując to, co pozostaje.
  • Używaj VPN jako jednej warstwy obrony, a nie zamiennika dla pozostałych.

W tym tygodniu przeprowadź audyt tego, jakie dane przechowuje Twoja firma i kto może uzyskać do nich dostęp. Następnie przeczytaj, jak działa duża grupa, w naszym omówieniu ransomware LockBit 3.0, aby zobaczyć, jak te ataki przebiegają w praktyce i gdzie Twoje zabezpieczenia przed kradzieżą danych przez ransomware i wymuszeniami wobec małych firm powinny być najsilniejsze.