O que os dados de ransomware da Proofpoint na Índia realmente mostram

Um novo relatório da empresa de segurança Proofpoint pinta um quadro preocupante para as organizações na Índia que lidam com ransomware. Os dados mostram que 62% das empresas indianas afetadas relataram um impacto geral mais elevado no ataque mais recente, um sinal de que esses incidentes estão se tornando mais prejudiciais, e não menos, mesmo com o aumento da conscientização e dos gastos com defesa. Talvez o mais notável seja a confirmação de que a extorsão baseada no roubo de dados em ransomware na Índia se tornou a regra, e não a exceção: o roubo de dados foi confirmado em 71% dos incidentes examinados pela Proofpoint.

Essa estatística redefine o que muitas organizações ainda consideram um problema de ransomware. Não se trata mais apenas de arquivos criptografados e uma nota de resgate. Na grande maioria dos casos estudados, os atacantes já haviam exfiltrado dados confidenciais antes de bloquear os sistemas, obtendo assim um segundo ponto de alavancagem, mesmo que os backups da vítima sejam sólidos o suficiente para evitar o pagamento pela chave de descriptografia.

Por que pagar o resgate não impede a extorsão repetida

Apesar da orientação generalizada de autoridades policiais e profissionais de segurança contra o pagamento de resgates, 64% das organizações indianas afetadas pagaram mesmo assim. O instinto é compreensível: o pagamento parece ser o caminho mais rápido de volta às operações normais. Mas as conclusões do Proofpoint sugerem que esse instinto está cada vez mais deslocado. Quase metade daqueles que pagaram, 48%, enfrentou exigências de extorsão adicionais depois.

Esse padrão não é exclusivo da Índia. Ele reflete o que a Proofpoint documentou globalmente, onde pagadores de resgate frequentemente são atacados novamente e o pagamento funciona menos como uma solução e mais como um sinal para os atacantes de que o alvo está disposto a negociar. Uma pesquisa separada da Proofpoint descobriu que 22% dos pagadores de resgate enfrentam extorsão repetida, enquanto outros dados apontam para aproximadamente 1 em cada 3 pagadores de ransomware sendo atacados novamente. O índice de 48% de extorsão repetida na Índia está no extremo superior dessa faixa, sugerindo que as organizações locais podem estar enfrentando uma versão ainda mais acentuada da mesma tendência global.

A taxa de roubo de dados de 71%: o que os atacantes levam antes de criptografar

A razão pela qual a extorsão repetida funciona tão bem para os atacantes é simples: uma vez que os dados são roubados, a criptografia se torna quase irrelevante. Se 71% dos incidentes já envolvem roubo de dados confirmado, pagar por uma chave de descriptografia não resolve nada em relação à cópia dos arquivos confidenciais que está na infraestrutura do atacante. Esses dados podem ser vendidos, vazados ou usados como nova alavancagem para uma segunda ou terceira exigência, o que ajuda a explicar por que tantas organizações que pagaram uma vez acabaram pagando novamente, ou enfrentando novas ameaças mesmo depois de liquidar a primeira.

Essa é a mudança central que separa o ransomware moderno dos ataques de bloqueio de arquivos do passado. A criptografia interrompe as operações no curto prazo, mas o roubo de dados cria uma responsabilidade de longo prazo que um único pagamento não consegue resolver. Para organizações que lidam com registros de clientes, informações financeiras ou dados empresariais proprietários, a exposição não termina quando os sistemas voltam a funcionar.

Reduzindo a exposição: segmentação de rede, backups e controles de acesso

A resposta prática a essa mudança precisa ir além da simples decisão de pagar ou não. Algumas medidas concretas são mais importantes do que nunca:

  • Segmentação de rede limita o quanto um atacante pode se mover depois de entrar, reduzindo a chance de que uma única conta comprometida leve à exposição de dados em toda a organização.
  • Backups offline e testados continuam essenciais para a recuperação da criptografia, mas não resolvem o roubo de dados, portanto, devem ser combinados com o monitoramento de transferências de dados incomuns para fora da rede.
  • Controles de acesso rigorosos e permissões de privilégio mínimo reduzem o volume de dados confidenciais que uma única credencial comprometida pode alcançar.
  • O planejamento de resposta a incidentes deve partir do pressuposto de que os dados já foram copiados, não apenas de que os sistemas podem ser bloqueados, e deve incluir um plano de comunicação para clientes e órgãos reguladores caso a exposição dos dados seja confirmada.

As organizações que constroem defesas com base nesses princípios estão partindo da premissa de que a prevenção sozinha nem sempre terá sucesso, e que limitar o raio de impacto de uma intrusão é tão importante quanto manter os atacantes do lado de fora desde o início.

O que isso significa para você

Se a sua organização opera na Índia ou lida com dados vinculados a clientes ou parceiros indianos, este relatório é um sinal para revisar os planos de resposta a incidentes com uma pergunta específica em mente: o que acontece depois que descobrimos que os dados já foram roubados, e não apenas depois que os arquivos são criptografados? Tratar o ransomware puramente como um problema de disponibilidade, resolvível por meio de backups e de um possível pagamento, já não corresponde à forma como esses ataques realmente se desenrolam. O padrão de extorsão baseada em roubo de dados de ransomware na Índia descrito nos dados da Proofpoint mostra que o momento da criptografia é muitas vezes apenas uma etapa de uma campanha mais longa.

Pontos principais

  • Presuma que ocorreu roubo de dados em qualquer incidente de ransomware; não espere pela confirmação para agir com base nessa suposição.
  • Trate o pagamento de resgate como uma decisão de negócios com risco real de extorsão repetida, não como uma solução garantida, um padrão consistente com o que outras pesquisas da Proofpoint sobre extorsão repetida documentaram em diversos mercados.
  • Invista agora em segmentação e controles de acesso, já que eles limitam os danos independentemente de como um atacante consegue entrar.
  • Elabore um plano de comunicação de violação de dados juntamente com seu plano de recuperação de ransomware, uma vez que os dois são cada vez mais o mesmo evento.

À medida que dados mais amplos da indústria sobre pagamentos de ransomware continuam mostrando, a experiência da Índia não é um caso isolado. É um reflexo local de uma mudança global em direção à extorsão em múltiplas etapas, e as organizações que se planejarem para isso agora estarão em uma posição muito melhor do que aquelas que ainda esperam que um único pagamento faça o problema desaparecer.