Wspólne ostrzeżenie FBI, CISA i agencji UE postawiło grupę ransomware SafePay w centrum uwagi, a USA, Wielka Brytania i Niemcy zostały wymienione jako cele globalnej kampanii tej grupy. Kluczowy szczegół dla zwykłych użytkowników i małych firm: napastnicy atakują kopie zapasowe. To sprawia, że ochrona kopii zapasowych przed SafePay ransomware jest znacznie większym zagadnieniem niż samo posiadanie drugiej kopii plików.

Artykuł źródłowy jest krótki, dlatego ten wpis koncentruje się na tym, co sygnalizuje ostrzeżenie, oraz na praktycznych krokach, które możesz podjąć. Tam, gdzie opisujemy typowe zachowania napastników, odzwierciedla to ogólne publiczne doniesienia o SafePay i powszechną praktykę ransomware.

Co robi SafePay ransomware i kto jest celem

SafePay to grupa ransomware, co oznacza, że włamuje się do sieci, blokuje dane i żąda zapłaty za przywrócenie dostępu. Publiczne raporty o zagrożeniach opisują ją jako operację podwójnego wymuszenia: napastnicy kopiują dane z systemów ofiary przed ich zaszyfrowaniem, a następnie żądają zapłaty w kryptowalucie. Zagrożenie obejmuje zarówno utratę dostępu, jak i wyciek poufnych plików.

Wspólne ostrzeżenie opisuje globalną kampanię, a zaangażowane agencje pochodzą z USA, Wielkiej Brytanii i Niemiec. Grupy ransomware rzadko ograniczają się do dużych korporacji. Małe firmy, przychodnie, szkoły i lokalne biura często mają cenne dane, ale słabsze zabezpieczenia, co czyni je atrakcyjnymi celami. Osoby prywatne posiadające urządzenia do przechowywania danych w sieci w domu lub w biurze domowym również mogą być narażone.

Publiczne doniesienia o SafePay mówią, że jego operatorzy zazwyczaj dostają się do systemów, kradnąc lub zgadując hasła oraz wykorzystując luki w systemach bezpieczeństwa. Nic z tego nie jest egzotyczne i dlatego podstawy mają tak duże znaczenie.

Dlaczego napastnicy najpierw atakują kopie zapasowe

Kopie zapasowe to siatka bezpieczeństwa. Jeśli ofiara może przywrócić dane z czystej kopii, żądanie okupu traci większość swojej dźwigni. Dlatego napastnicy, którzy to rozumieją, próbują usunąć siatkę, zanim pociągną za spust. Usunięcie, zaszyfrowanie lub uszkodzenie kopii zapasowych w pierwszej kolejności oznacza, że gdy pojawia się notatka z okupem, opcje odzyskiwania już nie istnieją.

To jest zmiana, którą warto przyswoić. Wiele osób myśli o kopii zapasowej jako o czymś, co po prostu istnieje. W praktyce kopia zapasowa dostępna z głównej sieci, używająca tych samych danych logowania, może zostać znaleziona i zniszczona przez każdego, kto uzyska ten dostęp. Kopia znajdująca się na dysku na stałe podłączonym do komputera lub folder w chmurze, który synchronizuje się automatycznie, może zostać zaszyfrowany razem ze wszystkim innym.

Jak chronić kopie zapasowe: kopie offline, niezmienność i szyfrowanie

Dobra ochrona kopii zapasowych przed SafePay ransomware zaczyna się od założenia, że napastnik w końcu uzyska dostęp do twoich głównych systemów, a następnie od zapewnienia, że twoje kopie zapasowe przetrwają ten scenariusz. Pomagają trzy idee:

  • Przechowuj kopię offline lub w izolacji. Dysk zewnętrzny, który jest odłączany po każdej kopii zapasowej, nie może zostać zaszyfrowany zdalnie. Dla firm oznacza to kopie, które nie są stale dostępne z sieci produkcyjnej.
  • Używaj niezmiennych kopii zapasowych. Niezmienność oznacza, że kopia zapasowa nie może zostać zmieniona ani usunięta przez określony czas, nawet przez konto administratora. Wiele narzędzi do tworzenia kopii zapasowych i usług przechowywania w chmurze oferuje to jako ustawienie. Jeśli napastnik ukradnie dane uwierzytelniające administratora, zablokowane kopie pozostaną nienaruszone.
  • Szyfruj swoje kopie zapasowe. Szyfrowanie nie powstrzyma napastnika przed usunięciem danych, ale chroni zawartość, jeśli kopia zostanie skradziona. Ma to znaczenie w przypadku podwójnego wymuszenia, gdzie wyciek danych jest częścią presji.

Dwa wspierające nawyki są równie ważne. Używaj oddzielnych danych uwierzytelniających dla systemów kopii zapasowych, najlepiej chronionych uwierzytelnianiem wieloskładnikowym, aby skradzione codzienne hasło nie odblokowywało ich. I regularnie testuj przywracanie. Kopia zapasowa, której nigdy nie przywróciłeś, jest założeniem, a nie planem.

Podstawowe zabezpieczenia, które powstrzymują początkową intrusję

Ochrona kopii zapasowych to ostatnia linia obrony. Lepszym wynikiem jest trzymanie napastników z dala. Ponieważ doniesienia wskazują na kradzione lub zgadywane hasła i wykorzystywane luki, najbardziej przydatne zabezpieczenia to te nieefektowne:

  • Włącz uwierzytelnianie wieloskładnikowe w poczcie e-mail, dostępie zdalnym, kontach w chmurze i konsolach kopii zapasowych.
  • Używaj silnych, unikalnych haseł przechowywanych w menedżerze haseł, aby jeden ujawniony zestaw danych uwierzytelniających nie otwierał wielu drzwi.
  • Instaluj poprawki na bieżąco, zwłaszcza w systemach dostępnych z internetu, takich jak zapory sieciowe, narzędzia dostępu zdalnego i oprogramowanie do kopii zapasowych. Niezałatane znane luki to powszechna droga wtargnięcia.
  • Ogranicz dostęp zdalny. Wyłącz usługi, których nie używasz, i ogranicz, kto może uzyskać dostęp do pozostałych.

VPN może pomóc zabezpieczyć zdalne połączenia z siecią firmową, ale nie zastępuje instalowania poprawek i MFA i sam nie ochroni kopii zapasowych.

Co to oznacza dla ciebie

Międzynarodowy charakter tego ostrzeżenia jest wart odnotowania. Współpraca rządów ponad granicami w sprawie cyberzagrożeń nie jest nowością; sojusze takie jak Five Eyes i szerszy Fourteen Eyes są znane z wymiany informacji wywiadowczych, choć te ustalenia dotyczą danych surveillance i są odrębną sprawą od tego ostrzeżenia o ransomware. Wniosek dla czytelników jest prostszy: gdy wiele agencji wydaje wspólne ostrzeżenie, zagrożenie jest szerokie i nie ogranicza się do jednego regionu czy branży.

Dla osób prywatnych oznacza to sprawdzenie, czy twoje kopie zapasowe są naprawdę oddzielone od komputera. Dla małych firm oznacza to pytanie, kto może usunąć twoje kopie zapasowe i czy to konto jest chronione przez MFA.

Praktyczne wnioski

Ochrona kopii zapasowych przed SafePay ransomware sprowadza się do krótkiego audytu, który możesz przeprowadzić w tym tygodniu:

  1. Sprawdź konfigurację kopii zapasowych. Czy masz co najmniej jedną kopię offline lub niezmienną?
  2. Oddziel dane uwierzytelniające. Upewnij się, że dostęp do kopii zapasowych używa innych danych logowania niż codzienne konta.
  3. Włącz MFA wszędzie, gdzie jest oferowane, zaczynając od poczty e-mail, dostępu zdalnego i narzędzi do kopii zapasowych.
  4. Zainstaluj oczekujące aktualizacje, priorytetowo traktując zapory sieciowe, oprogramowanie dostępu zdalnego i aplikacje do kopii zapasowych.
  5. Przetestuj przywracanie kilku plików, aby potwierdzić, że kopie zapasowe rzeczywiście działają.

Żaden z tych kroków nie jest skomplikowany, a razem odbierają dźwignię, na której polegają grupy ransomware. Zacznij od audytu już dziś.