Extorsão dupla por ransomware explicada de forma simples: os atacantes não apenas bloqueiam seus arquivos, eles roubam seus dados primeiro e os usam como alavancagem. De acordo com um relatório recente do HIPAA Journal, grupos de ransomware agora estão indo além e recorrendo a ameaças do mundo real para pressionar as vítimas a atender suas exigências. Para qualquer pessoa cujas informações pessoais estejam em um banco de dados corporativo, essa mudança importa.

Extorsão dupla por ransomware explicada: como as táticas escalaram

A história do ransomware é de adaptação constante. Inicialmente, criptografar os arquivos de uma vítima era suficiente para forçar um pagamento. Se um hospital, escola ou empresa não conseguisse abrir seus próprios dados, tinha um forte motivo para pagar.

Então as vítimas ficaram melhores em resiliência cibernética. Muitas organizações começaram a manter backups e descobriram que podiam restaurar arquivos criptografados sem ceder aos atacantes. A criptografia sozinha deixou de ser uma fonte confiável de renda, então os criminosos mudaram sua abordagem.

O passo seguinte foi o roubo de dados. Grupos de ransomware começaram a copiar arquivos sensíveis da rede de uma vítima antes de criptografar qualquer coisa. Eles então ameaçavam vender ou vazar as informações roubadas. Este é o modelo de extorsão dupla: uma ameaça são os sistemas bloqueados, a outra é a exposição dos dados. Um bom backup resolve o primeiro problema, mas não faz nada quanto ao segundo.

O relatório mais recente descreve uma escalada adicional, com grupos recorrendo a ameaças do mundo real como forma de adicionar pressão. O trecho do artigo disponível para nós não detalha cada tática, então vale a pena ler a reportagem original para obter detalhes. A direção geral, no entanto, é clara: cada vez que os defensores fecham uma via, os atacantes procuram uma nova fonte de alavancagem.

Por que pagar o resgate não protege seus dados

É tentador pensar que, se uma empresa pagar, o problema desaparece. Na prática, essa suposição é frágil por uma razão simples: uma vez que os criminosos copiaram seus dados, você está confiando inteiramente na palavra deles de que os apagarão. Essas são pessoas que já quebraram a lei para obtê-los.

Há também uma questão estrutural. O roubo de dados significa que as informações saíram do prédio. Mesmo que os sistemas sejam restaurados e um pagamento seja feito, a organização não pode verificar de forma independente o que acontece com as cópias. Para os indivíduos cujos nomes, endereços, detalhes de saúde ou registros financeiros estavam naqueles dados, o risco não depende de a empresa ter negociado ou não.

É por isso que a tática é tão eficaz. Os backups resolveram o problema da criptografia, mas não podem des-roubar dados. A extorsão baseada na exposição continua funcionando porque o dano às pessoas é real, quer um resgate seja pago ou não.

O que ameaças do mundo real significam para pessoas comuns

A maioria das pessoas nunca negocia com um grupo de ransomware. Elas geralmente são aquelas cujos dados estão sendo mantidos como reféns. Quando os criminosos adicionam pressão além do domínio digital, as pessoas mais afetadas são frequentemente clientes, pacientes e funcionários cujos detalhes estão nos arquivos roubados.

Isso tem algumas consequências práticas:

  • A segurança dos seus dados depende da segurança de outra pessoa. Você não pode corrigir os servidores de uma empresa, mas pode decidir quanta informação sua eles armazenam.
  • Alegações nem sempre equivalem a violações confirmadas. Gangues frequentemente divulgam seus ataques para exercer pressão. Por exemplo, um grupo alegou publicamente uma violação da Marlborough Partners, mas não havia evidência confirmada por trás da alegação no momento da nossa cobertura da alegação de ransomware Anubis. Da mesma forma, a Kingston Technology disse que estava investigando depois que o grupo Everest fez alegações, como cobrimos em nosso relatório sobre a investigação da Kingston Technology.
  • A extorsão não se limita a um setor. Nossa compilação das histórias de extorsão da Stadler Rail e espionagem russa do Zimbra é outro lembrete de que essas campanhas de pressão aparecem em todos os setores.

O fio condutor comum é que você frequentemente descobre um problema após o fato, por meio de uma carta de notificação ou uma reportagem. A essa altura, os dados já saíram das suas mãos.

Como reduzir sua exposição antes de uma violação

Você não pode impedir que um grupo de ransomware tenha como alvo uma empresa com a qual você faz negócios, mas pode limitar o dano se isso acontecer. Estas etapas focam no que está dentro do seu controle.

  1. Compartilhe menos. Forneça aos serviços apenas as informações que eles realmente precisam. Se um formulário pede uma data de nascimento, número de telefone ou documento de identidade que não é essencial, considere deixá-lo de fora ou usar o mínimo necessário. Dados que nunca foram coletados não podem ser roubados.
  2. Exclua o que você não usa mais. Feche contas antigas e solicite exclusão quando possível. Contas inativas ainda são dados armazenados no servidor de alguém.
  3. Mantenha backups offline dos seus próprios arquivos. Backups não impedirão o roubo de dados, mas protegem você do problema original de ransomware em seus próprios dispositivos. Mantenha pelo menos uma cópia desconectada da sua rede.
  4. Use senhas exclusivas e autenticação multifator. Se uma violação expuser credenciais, senhas exclusivas impedem que um vazamento desbloqueie suas outras contas.
  5. Fique atento a notificações de violação. Leia cartas e e-mails de empresas com atenção, e tenha cuidado com mensagens inesperadas que referenciem seus dados pessoais, já que dados roubados podem alimentar golpes convincentes.
  6. Seja cético em relação a ameaças. Se você receber uma mensagem alegando que seus dados foram roubados e exigindo pagamento, verifique por canais oficiais antes de responder. Não clique em links ou ligue para números na própria mensagem.

O que isso significa para você

A lição principal é que pagar um resgate não é uma estratégia de privacidade, e também não é esperar que uma empresa tenha bons backups. A extorsão dupla deslocou o risco de sistemas bloqueados para dados expostos, e o movimento em direção a ameaças do mundo real mostra que os criminosos continuarão procurando novas formas de exercer pressão. Sua melhor defesa é reduzir a quantidade de informações sensíveis que existem sobre você nos sistemas de outras pessoas, e estar pronto para agir rapidamente se for notificado de uma violação.

Principais conclusões

Entender a extorsão dupla por ransomware explicada em termos simples ajuda você a ver por que esses ataques continuam tendo sucesso: a ameaça não é mais apenas sobre tempo de inatividade, é sobre exposição. Limite os dados pessoais que você entrega, mantenha backups offline do que é importante para você e preste muita atenção às notificações de violação. Para ver como essas táticas se desenrolam na prática, acompanhe nossa cobertura contínua de alegações recentes de ransomware, começando pelas histórias da Anubis e Everest vinculadas acima.