Nowa warstwa presji w atakach ransomware

Ransomware nigdy nie stał w miejscu, a jego najnowsza ewolucja pokazuje, jak daleko atakujący są skłonni się posunąć, aby wymusić zapłatę. Według niedawnego raportu Hungerford Technology, dostawcy zarządzanych usług IT z Zachodniego Michigan, grupy przestępcze coraz częściej sięgają po ransomware z potrójnym wymuszeniem, taktykę, która dodaje trzeci punkt nacisku na dwa, na których atakujący polegali przez lata.

W standardowym ataku ransomware przestępcy szyfrują pliki organizacji i żądają zapłaty za klucz deszyfrujący. Podwójne wymuszenie dodało drugą groźbę: atakujący kradną kopię danych przed ich zaszyfrowaniem, a następnie grożą ich wyciekiem lub sprzedażą, jeśli okup nie zostanie zapłacony, nawet jeśli ofiara może przywrócić pliki z kopii zapasowych. Potrójne wymuszenie idzie dalej, dodając trzecią formę nacisku, która poszerza krąg osób dotkniętych pojedynczym wyciekiem.

Jak potrójne wymuszenie eskaluje atak

Cechą definiującą potrójne wymuszenie jest to, że wykracza ono poza pierwotny cel. Zamiast wywierać presję tylko na zaatakowaną organizację, atakujący wykorzystują skradzione dane, aby grozić lub kontaktować się z osobami trzecimi powiązanymi z ofiarą, takimi jak klienci, partnerzy biznesowi, pracownicy czy pacjenci, których dane osobowe zostały ujawnione. Może to obejmować bezpośrednie wiadomości z żądaniem osobnych płatności, groźby skarg regulacyjnych lub skoordynowane kampanie nękania mające na celu zwielokrotnienie szkód reputacyjnych i finansowych.

Ta zmiana ma znaczenie, ponieważ zmienia to, kto ponosi ryzyko incydentu ransomware. Wyciek, który kiedyś zagrażał głównie działalności operacyjnej i wynikom finansowym firmy, może teraz narazić prywatne dane i spokój wszystkich osób, których informacje przeszły przez systemy tej firmy. Dla konsumentów oznacza to, że naruszenie danych w firmie, z którą nigdy nie mieli bezpośredniej interakcji online – u dostawcy usług medycznych, sprzedawcy detalicznego, firmy przetwarzającej płatności – może skutkować tym, że ich dane osobowe zostaną wykorzystane przeciwko nim indywidualnie.

Taktyka ta odzwierciedla również szerszy trend: grupy ransomware profesjonalizują swoją działalność i szukają każdego możliwego sposobu, aby zagwarantować płatność. Jeśli samo szyfrowanie nie wymusi reakcji, a groźba wycieku danych również nie, trzeci punkt nacisku wymierzony w osoby, których dane są zagrożone, często działa.

Dlaczego punkty wejścia mają teraz większe znaczenie niż kiedykolwiek

Zrozumienie, w jaki sposób atakujący dostają się do środka, jest równie ważne, jak zrozumienie tego, co robią, gdy już tam są. Jak omówiono w powiązanym raporcie na temat tego, jak skompromitowane dane logowania stały się głównym punktem wejścia dla ransomware, stara rada, aby po prostu łatać luki w oprogramowaniu, zanim atakujący je wykorzystają – choć nadal aktualna – nie odnosi się już do podstawowego sposobu, w jaki grupy ransomware się dostają. Skradzione lub słabe dane uwierzytelniające stały się główną bramą, co oznacza, że ochrona tożsamości, uwierzytelnianie wieloskładnikowe i higiena poświadczeń stanowią teraz pierwszą linię obrony przed rodzajem naruszenia, które może ostatecznie przerodzić się w potrójne wymuszenie.

To powiązanie ma znaczenie dla rozmowy o prywatności: jeśli atakujący dostają się przez przejęte dane logowania, a nie przez wyrafinowane exploity, to podstawowe praktyki bezpieczeństwa kont – takie, na które jednostki i organizacje mają bezpośredni wpływ – odgrywają ogromną rolę w zapobieganiu początkowemu włamaniu, które uruchamia potrójne wymuszenie.

Co to oznacza dla Ciebie

Niezależnie od tego, czy prowadzisz małą firmę, zarządzasz IT w organizacji, czy jesteś po prostu klientem, którego dane znajdują się w dziesiątkach firmowych baz danych, ransomware z potrójnym wymuszeniem podnosi stawkę dla wszystkich zaangażowanych. Dla organizacji oznacza to, że incydent ransomware nie ogranicza się już do operacji wewnętrznych i odzyskiwania kopii zapasowych; może rozlać się na obszary prawne, regulacyjne i public relations, które bezpośrednio dotykają klientów i partnerów. Dla osób prywatnych jest to przypomnienie, że bezpieczeństwo ich danych osobowych często zależy od praktyk bezpieczeństwa firm, którym być może nigdy nie chcieliby powierzyć tych danych.

Praktyczna reakcja wygląda podobnie do standardowej obrony przed ransomware, ale z dodatkową pilnością: silne, unikalne poświadczenia w połączeniu z uwierzytelnianiem wieloskładnikowym, regularne kopie zapasowe offline, które są testowane i odizolowane od głównej sieci, oraz jasny plan reagowania na incydenty, który uwzględnia powiadamianie stron trzecich w przypadku kradzieży danych. Szyfrowanie wrażliwych danych w stanie spoczynku i podczas przesyłania również ogranicza to, co atakujący mogą faktycznie wykorzystać jako dźwignię, nawet jeśli uda im się je wykraść.

Praktyczne wskazówki

Ransomware z potrójnym wymuszeniem to znak, że atakujący dostosowują się szybciej niż wiele mechanizmów obronnych. Aby wyprzedzić zagrożenia:

  • Traktuj bezpieczeństwo poświadczeń jako najwyższy priorytet, ponieważ przejęte dane logowania są obecnie głównym punktem wejścia dla ransomware.
  • Utrzymuj kopie zapasowe offline, które są testowane, aby samo szyfrowanie nie mogło wymusić decyzji o zapłacie.
  • Szyfruj wrażliwe dane, aby ograniczyć to, co atakujący mogą wykorzystać, jeśli uda im się je wykraść.
  • Stwórz plan reagowania, który obejmuje powiadamianie dotkniętych stron trzecich, a nie tylko interesariuszy wewnętrznych.
  • Bądź na bieżąco z ewoluującymi taktykami ransomware, ponieważ zabezpieczenia stworzone na wczorajsze zagrożenia mogą nie wytrzymać dzisiejszych.

Zwrot ransomware w kierunku potrójnego wymuszenia jest wyraźnym sygnałem, że ochrona danych nie może być dłużej traktowana jako problem pojedynczej organizacji. To wspólna odpowiedzialność, która rozciąga się na wszystkich, których informacje są zagrożone.