Dlaczego ataki ransomware koncentrują się teraz na kradzieży danych, a nie na szyfrowaniu

Przez lata standardowy scenariusz ransomware był prosty: włamać się, zaszyfrować pliki, zażądać okupu za klucz deszyfrujący. Kopie zapasowe były odpowiedzią. Przywróć systemy, zignoruj żądanie okupu, działaj dalej. Ten scenariusz jest w dużej mierze przestarzały.

Dzisiejsze grupy ransomware dostosowały się do faktu, że wiele organizacji radzi sobie z odzyskiwaniem danych po szyfrowaniu bez większych problemów. Zmieniły więc dźwignię nacisku. Zanim cokolwiek zablokują, atakujący po cichu kopiują wrażliwe pliki, dokumentację finansową, dane pracowników, informacje o klientach poza sieć. Szyfrowanie stało się niemal drugorzędne, a czasem całkowicie pomijane. Prawdziwym zagrożeniem jest publiczna strona z wyciekami, na której trafiają skradzione dane, jeśli nie zostanie uiszczony okup. To zagrożenie wymuszeniem danych w atakach ransomware, które badacze bezpieczeństwa uważnie śledzą, zmienia znaczenie „bycia przygotowanym” dla organizacji każdej wielkości.

Ten schemat nie ogranicza się do jednego regionu czy branży. Na przykład raporty o incydentach ransomware w Indiach wykazały, że większość ataków obejmuje obecnie kradzież danych, a nie tylko szyfrowanie, zgodnie z analizą aktywności ransomware przeprowadzoną przez Proofpoint. Ta sama dynamika występuje bliżej nas, w tym w obszarze metropolitalnym St. Louis.

Co wiadomo o incydentach w rejonie St. Louis

Z doniesień CHR Solutions, firmy IT i cyberbezpieczeństwa z siedzibą w St. Louis, wynika, że ransomware dotknęło systemy szkolne, sieci miejskie i lokalne przedsiębiorstwa w obszarze metropolitalnym zaledwie w ciągu ostatnich kilku miesięcy. Firma, która współpracuje bezpośrednio z regionalnymi organizacjami, aby usuwać luki w zabezpieczeniach, przedstawia to jako lokalny i powtarzający się problem, a nie odległy nagłówek. Szczegóły dotyczące poszczególnych incydentów są w dostępnych doniesieniach ograniczone, ale opisany schemat odzwierciedla to, co dzieje się w całym kraju: sieci sektora publicznego oraz małe i średnie firmy są częstymi celami, często dlatego, że dysponują mniejszymi zasobami bezpieczeństwa niż duże przedsiębiorstwa.

Okręgi szkolne i sieci komunalne są szczególnie atrakcyjnymi celami ataków opartych na wymuszeniach. Przechowują one duże ilości danych osobowych, w tym dokumentację uczniów, pracowników i mieszkańców, i często podlegają presji społecznej, by unikać zakłóceń, co może zwiększać skłonność do negocjacji. Gdy atakujący wiedzą, że dźwignią nie jest tylko pytanie „czy możesz funkcjonować bez swoich plików”, lecz „czy możesz sobie pozwolić na opublikowanie tych danych”, presja, by zapłacić, znacząco rośnie.

Jak podwójne wymuszenie zmienia kalkulację dla małych i średnich firm

Podwójne wymuszenie, polegające na szyfrowaniu systemów przy jednoczesnym grożeniu wyciekiem skradzionych danych, zasadniczo zmienia równanie ryzyka dla mniejszych organizacji. Firma posiadająca solidne, przetestowane kopie zapasowe miała kiedyś jasną ścieżkę odzyskiwania: przywrócić i odbudować. Ale kopie zapasowe nie powstrzymają strony z wyciekami przed opublikowaniem umów klientów, numerów PESEL pracowników czy zastrzeżonych danych biznesowych.

Ma to ogromne znaczenie dla małych i średnich firm, które mogą zakładać, że same kopie zapasowe stanowią obronę przed ransomware. Niedawny przykład tego, jak groźby wycieku działają w praktyce, dotyczy ataku grupy ransomware Play na Kreysler & Associates, gdzie grupa zastosowała swój typowy model operacyjny, grożąc opublikowaniem skradzionych danych, zamiast polegać wyłącznie na szyfrowaniu, by wymusić zapłatę. Takie przypadki ilustrują, że dźwignia negocjacyjna atakujących przesunęła się z „zablokowaliśmy wasze systemy” na „mamy wasze dane i upublicznimy je”. To ryzyko reputacyjne, prawne i regulacyjne, którego samo przywrócenie kopii zapasowych nie jest w stanie naprawić.

Dla mniejszych organizacji bez dedykowanych zespołów bezpieczeństwa ta zmiana oznacza, że planowanie reagowania na incydenty musi uwzględniać scenariusze ujawnienia danych, a nie tylko przestój systemów.

Praktyczne kroki wzmacniające bezpieczeństwo, które odpowiadają na ryzyko wymuszenia

Kopie zapasowe pozostają niezbędne, ale same w sobie już nie wystarczają. Organizacje, które poważnie myślą o zmniejszeniu ryzyka wymuszenia, powinny skupić się na kilku obszarach wykraczających poza tradycyjne odzyskiwanie po awarii:

  • Ogranicz to, co atakujący mogą ukraść. W miarę możliwości ograniczaj retencję danych i segmentuj sieci, aby pojedyncze skompromitowane konto nie dawało dostępu do wszystkiego.
  • Monitoruj eksfiltrację, nie tylko szyfrowanie. Narzędzia wykrywające nietypowe transfery danych wychodzących potrafią wychwycić atak, zanim pliki opuszczą sieć, co często ma miejsce wcześniej, niż wykryłoby to monitorowanie skoncentrowane na szyfrowaniu.
  • Wzmocnij kontrolę tożsamości. Uwierzytelnianie wieloskładnikowe i ściśle zarządzane konta uprzywilejowane pozostają jedną z najskuteczniejszych barier przeciwko początkowemu dostępowi, którego potrzebują atakujący, by w ogóle ukraść dane.
  • Zbuduj plan reagowania na incydenty uwzględniający groźby wycieku. Kroki prawne, komunikacyjne i związane z powiadomieniami regulacyjnymi powinny być rozpisane przed atakiem, a nie w jego trakcie.

Co to oznacza dla Ciebie

Jeśli plan Twojej organizacji na wypadek ransomware wciąż opiera się głównie na procedurach tworzenia kopii zapasowych i przywracania, odpowiada on na wczorajsze zagrożenia. Zagrożenie wymuszeniem danych w ransomware oznacza, że prawdziwe ryzyko często leży w tym, co atakujący już skopiowali, zanim w ogóle zauważyłeś problem. Dotyczy to zarówno okręgu szkolnego, urzędu gminy, jak i małej firmy przetwarzającej dane klientów. Zakładanie, że jesteś zbyt mały, by stać się celem, nie jest już bezpieczne; mniejsze organizacje są często wybierane właśnie dlatego, że mają mniej zabezpieczeń.

Kluczowe wnioski

  • Ataki ransomware coraz częściej stawiają na kradzież danych i groźby wycieku zamiast samego szyfrowania – schemat ten obserwuje się zarówno lokalnie, jak i na świecie.
  • Odzyskanie danych z kopii zapasowych po szyfrowaniu nie eliminuje ryzyka opublikowania skradzionych danych.
  • Małe i średnie organizacje, w tym szkoły i sieci komunalne, pozostają częstymi celami ze względu na ograniczone zasoby bezpieczeństwa.
  • Skuteczna obrona wymaga teraz monitorowania eksfiltracji danych, zaostrzenia kontroli dostępu i planowania reagowania na incydenty z myślą o możliwości publicznego wycieku, a nie tylko o przestoju systemów.