O que o estudo da Proofpoint descobriu sobre ataques repetidos

Um novo estudo da empresa de cibersegurança Proofpoint lança um alerta preocupante para organizações que encaram o pagamento de resgates como solução rápida. Segundo a investigação, mais de um terço das empresas que cederam a um pedido de resgate foram posteriormente alvo de uma segunda tentativa de extorsão. Por outras palavras, passar um cheque não fecha o capítulo de um incidente; para uma parte significativa das vítimas, apenas abre um novo.

Esta conclusão é relevante porque desafia uma ideia muito comum nas salas de administração durante uma crise: a de que pagar aos atacantes é a forma mais rápida de fazer o problema desaparecer. Os dados da Proofpoint sugerem o contrário. Quando uma empresa mostra disponibilidade para pagar, pode tornar-se um alvo repetido, seja pelo mesmo atacante ou por outro grupo que tomou conhecimento de que aquela organização é um alvo fácil.

Por que pagar o resgate não garante a segurança dos dados

O problema central destacado pela Proofpoint é que as negociações de resgate se baseiam na confiança em criminosos que não têm qualquer obrigação vinculativa de cumprir a sua parte. Pagar para desbloquear ficheiros encriptados não garante que os dados roubados não tenham sido copiados para outro local, nem impede que os atacantes revendam credenciais de acesso, mapas da rede ou ficheiros exfiltrados a outros grupos criminosos.

É este o mecanismo por detrás do ciclo de extorsão repetida que o estudo descreve. As operações modernas de ransomware dependem cada vez mais da dupla extorsão, encriptando os sistemas e, ao mesmo tempo, roubando dados sensíveis antes de exigirem o pagamento. Mesmo que a chave de desencriptação seja entregue conforme prometido, os dados roubados continuam a ser um risco. Podem ser usados para uma segunda chantagem, vendidos em mercados criminosos ou explorados por um agente de ameaça completamente diferente que compre o acesso ao atacante original. O pagamento resolve a interrupção imediata, mas nada faz para resolver a exposição subjacente dos dados da organização.

A ameaça crescente para pequenas e médias empresas

Embora as grandes empresas tenham historicamente dominado as manchetes sobre ransomware, as pequenas e médias empresas estão cada vez mais na mira, muitas vezes por terem menos recursos para investir em deteção, resposta e recuperação. Estas organizações podem ser especialmente vulneráveis ao padrão de extorsão repetida descrito pela Proofpoint, uma vez que um único pagamento bem-sucedido as pode sinalizar como dispostas e capazes de pagar novamente.

Esta dinâmica já está a verificar-se com operações de ransomware como serviço que visam especificamente organizações mais pequenas. Conforme detalhado na cobertura sobre os gangs de ransomware Qilin e The Gentlemen a intensificarem ataques a PMEs, estes grupos competem pelo domínio concentrando-se em empresas que podem não ter a experiência de negociação, os assessores jurídicos ou a infraestrutura de resposta a incidentes que as grandes companhias conseguem reunir. Quando uma empresa pequena paga uma vez, pode não ter recursos para alterar fundamentalmente a sua postura de segurança posteriormente, deixando as mesmas vulnerabilidades abertas para a tentativa seguinte.

Como reduzir o risco: backups, encriptação e planeamento de incidentes

As conclusões da Proofpoint reforçam uma mensagem que os profissionais de segurança repetem há anos: a prevenção e a preparação são mais importantes do que a negociação. Algumas medidas práticas podem reduzir de forma significativa tanto a probabilidade de um ataque como os danos, caso ele ocorra.

Em primeiro lugar, mantenha backups offline ou imutáveis que sejam testados regularmente. O pagamento de um resgate torna-se muitas vezes a única opção quando os backups não existem, estão desatualizados ou foram encriptados durante o ataque. Em segundo lugar, encripte os dados sensíveis em repouso e em trânsito, para que, mesmo que os atacantes exfiltrem ficheiros, os dados roubados tenham um valor limitado. Em terceiro lugar, elabore um plano de resposta a incidentes antes de um ataque acontecer, e não durante o mesmo. Este plano deve incluir funções claras, protocolos de comunicação e contactos jurídicos e forenses pré-avaliados, para que as decisões não sejam tomadas sob pânico e pressão de tempo.

As organizações devem também assumir que qualquer dado tocado por uma intrusão pode, eventualmente, surgir publicamente ou ser revendido, independentemente de o resgate ser pago. Planear para essa possibilidade, através de procedimentos de notificação de clientes, ofertas de monitorização de crédito e revisão jurídica, é muito mais fiável do que esperar que um grupo criminoso apague os ficheiros roubados após o pagamento.

O que isto significa para si

Se a sua organização alguma vez enfrentar uma exigência de resgate, a investigação da Proofpoint sugere que a decisão de pagar não deve ser tratada como uma resolução garantida. O risco de extorsão repetida no pagamento de ransomware é real e está documentado: pagar pode marcá-lo como um alvo em vez de encerrar o incidente. Quer dirija uma pequena empresa ou faça a gestão da segurança de uma companhia maior, a suposição mais segura é que qualquer evento de ransomware pode não ser uma ocorrência única, a menos que aborde as causas profundas que permitiram a intrusão em primeiro lugar.

Pontos essenciais

  • Não assuma que o pagamento termina a ameaça. A Proofpoint constatou que mais de um terço das vítimas pagadoras enfrenta uma segunda tentativa de extorsão.
  • Dê prioridade a backups imutáveis e testados, para que o pagamento nunca seja o seu único caminho para a recuperação.
  • Encripte dados sensíveis para limitar os danos da exfiltração, mesmo que os sistemas sejam comprometidos.
  • Crie e treine um plano de resposta a incidentes antes de um ataque, e não durante o mesmo.
  • Reconheça que as pequenas empresas são cada vez mais visadas por grupos como Qilin e The Gentlemen, tornando a defesa proativa essencial independentemente da dimensão da empresa.