O ransomware costumava ser um problema simples e brutal: os atacantes bloqueavam seus arquivos e exigiam pagamento pela chave. Hoje o cenário é mais complicado. Este guia oferece um panorama explicativo sobre ransomware de dupla extorsão para leitores em geral, baseado em um comentário recente em japonês de Masaya Kinoshita que descreve como os danos causados por ransomware se tornaram cada vez mais sofisticados e graves.

O ponto central é que a tática predominante agora é a "dupla extorsão". Os atacantes não apenas criptografam dados. Eles também roubam informações e ameaçam vazá-las se suas exigências não forem atendidas. Essa mudança altera o que significa defesa, tanto para organizações quanto para os indivíduos cujos dados essas organizações armazenam.

Como Funciona a Dupla Extorsão

Em um ataque clássico de ransomware, os criminosos criptografam os arquivos da vítima e exigem dinheiro para a descriptografia. A principal questão da vítima é se ela consegue restaurar seus sistemas.

A dupla extorsão adiciona uma segunda alavanca. Antes ou durante a criptografia, os atacantes copiam informações sensíveis da rede da vítima. Em seguida, apresentam duas ameaças ao mesmo tempo:

  • Pague, ou seus sistemas permanecerão bloqueados.
  • Pague, ou seus dados roubados serão publicados.

O comentário descreve isso como a abordagem predominante, não algo exótico. A segunda ameaça é o que torna a tática tão eficaz. Mesmo uma vítima com um plano de recuperação perfeito ainda enfrenta a perspectiva de registros de clientes, dados de funcionários ou documentos internos aparecerem em público.

Por Que os Backups Sozinhos Já Não Resolvem o Problema

Fazer backup de dados continua sendo essencial. A fonte enfatiza a garantia de backups robustos como uma das medidas específicas que as organizações devem adotar, porque bons backups permitem que uma vítima restaure as operações sem pagar por uma chave de descriptografia.

Mas os backups respondem apenas à ameaça de criptografia. Eles não fazem nada em relação às cópias roubadas. Restaurar seus arquivos a partir de um backup limpo não traz seus dados de volta do servidor do atacante. Uma vez que as informações foram exfiltradas, a vítima perdeu o controle sobre quem as vê, e os criminosos sabem disso.

É por isso que a fonte combina backups com outras medidas, como autenticação multifator. Impedir que os atacantes entrem, ou que se movam livremente uma vez dentro, é a única maneira de prevenir o roubo desde o início. Backups são uma ferramenta de recuperação, não de prevenção.

O Que Sites de Vazamento Como o RansomHouse Significam para Seus Dados Pessoais

A pressão por trás da dupla extorsão é frequentemente aplicada publicamente. A fonte se refere a um site chamado RansomHouse, um exemplo dos sites de vazamento onde grupos de extorsão nomeiam vítimas e ameaçam divulgar ou realmente publicam material roubado. O vídeo discutido no comentário destaca esse tipo de site como parte da ameaça atual.

Para pessoas comuns, o ponto principal é que você pode ser afetado sem nunca ser o alvo. Se uma empresa, clínica, escola ou fornecedor que armazena suas informações for invadido, seus dados podem fazer parte do que foi roubado. Uma listagem em um site de vazamento é um sinal de que o grupo está pressionando a organização, não uma prova de que a alegação seja precisa. Por exemplo, nossa cobertura sobre a listagem de ransomware Everest da Capgemini Engineering observa que tais alegações normalmente não são verificadas no momento em que aparecem.

Um exemplo recente desse padrão é a violação de dados da Uber Freight, onde o grupo Helix alegou quase 1 milhão de arquivos após listar a empresa em seu site de vazamento na dark web. A empresa afirmou que estava investigando um incidente de segurança de dados. Se você quer entender para onde as informações roubadas vão em seguida, nosso explicativo sobre o que acontece com seus dados após uma violação cobre a reação em cadeia que pode se seguir.

O Que Isso Significa Para Você

A maioria dos leitores não administra uma rede corporativa, mas você ainda faz parte da história da dupla extorsão. Seus dados vivem nos sistemas de outras pessoas, e você não pode controlar a segurança delas. O que você pode controlar é quanto dano um vazamento causa a você.

Um conjunto publicado ou vendido de dados pessoais pode alimentar phishing, tentativas de tomada de conta e impersonação. Reutilizar senhas piora isso, porque uma credencial vazada pode desbloquear várias contas. A boa notícia é que alguns hábitos limitam drasticamente as consequências.

Passos Práticos para Indivíduos e Pequenas Organizações

Para indivíduos:

  • Use uma senha única para cada conta, armazenada em um gerenciador de senhas.
  • Ative a autenticação multifator sempre que estiver disponível, começando por e-mail, bancos e armazenamento em nuvem.
  • Desconfie de mensagens inesperadas que referenciem seus dados reais, já que dados vazados tornam os golpes mais convincentes.
  • Se você for notificado sobre uma violação, altere imediatamente a senha afetada e quaisquer outras que correspondam a ela.
  • Compartilhe apenas as informações pessoais que um serviço realmente precisa.

Para pequenas organizações:

  • Mantenha backups robustos e armazene pelo menos uma cópia offline ou separada da sua rede principal para que os atacantes não possam criptografá-la também.
  • Exija autenticação multifator para a equipe, especialmente para acesso remoto e contas administrativas.
  • Colete e retenha menos dados sensíveis. Informações que você não possui não podem ser roubadas.
  • Prepare um plano de incidentes que cubra o roubo de dados, não apenas a recuperação de sistemas, incluindo quem você notificaria.

Principais Conclusões

Entender o ransomware de dupla extorsão explicado em termos simples se resume a uma ideia: a criptografia é o ataque visível, e o roubo é o duradouro. Os backups protegem suas operações, mas apenas a prevenção, como autenticação multifator e limitar quais dados são armazenados, reduz a chance de um vazamento.

Para ver o que normalmente acontece depois que informações são levadas, leia nosso guia sobre o que acontece com seus dados após uma violação, e revise o relatório da Uber Freight e Helix como um exemplo recente de uma listagem de extorsão em site de vazamento. Depois, reserve dez minutos hoje para ativar a autenticação multifator em suas contas mais importantes.