O ransomware aumentou supostamente quase 50%, e as pequenas empresas estão absorvendo a maior parte dos danos. O que torna a tendência mais difícil de gerenciar é uma mudança de táticas. Casos de roubo de dados por ransomware, extorsão e pequenas empresas envolvem cada vez mais atacantes que nunca bloqueiam um único arquivo. Eles roubam os dados e então ameaçam publicá-los ou vendê-los a menos que recebam o pagamento.

O artigo fonte cita a NordLayer ao descrever a mudança: mais grupos de extorsão pulam a criptografia e simplesmente roubam dados, depois ameaçam a vítima. O texto completo disponível para nós é breve, então este post se atém a esses pontos e a práticas de segurança amplamente compreendidas, em vez de adicionar números que não podemos verificar.

Por que os backups não impedem mais a extorsão

O ataque clássico de ransomware bloqueava seus arquivos e vendia a chave. Bons backups eram a resposta: restaure os sistemas e siga em frente. Esse conselho ainda importa, mas resolve apenas metade do problema moderno.

Quando os atacantes roubam dados em vez de criptografá-los, nada está quebrado do seu lado. Seus sistemas podem funcionar normalmente. A alavancagem vem do que os criminosos agora possuem: registros de clientes, informações de funcionários, contratos, detalhes financeiros. Restaurar a partir de um backup não faz nada para tirar essa cópia das mãos deles.

É por isso que a nota de resgate nesses casos é construída em torno da exposição, e não da indisponibilidade. A ameaça é que seus clientes, parceiros ou reguladores descubram o que foi levado. Backups protegem a disponibilidade. Eles não protegem a confidencialidade.

Por que as pequenas empresas estão arcando com o peso

O artigo descreve as pequenas empresas como responsáveis pela maior parte do aumento. Embora não possamos decompor independentemente as razões a partir do texto fonte, vários fatores comuns são bem reconhecidos nos círculos de segurança:

  • Menos equipe de segurança dedicada. Muitas pequenas empresas dependem de um generalista de TI ou de um provedor externo.
  • Redes planas e acesso compartilhado. Em ambientes menores, uma conta comprometida frequentemente pode alcançar muitos dados.
  • Pressão para pagar rapidamente. Uma fábrica que não pode operar, ou uma clínica que teme um vazamento, pode sentir que não pode arcar com uma recuperação longa.

A extorsão por roubo de dados também reduz o esforço dos atacantes. Pular a criptografia significa menos etapas e menos ruído, o que pode tornar uma intrusão mais difícil de detectar antes que a demanda chegue.

Defesas que limitam o que os ladrões podem levar

Se o objetivo é reduzir o que pode ser roubado, o foco defensivo muda da recuperação apenas para o controle sobre os dados. Medidas práticas incluem:

  1. Saiba o que você armazena. Faça um inventário de dados de clientes, funcionários e financeiros, e exclua o que você não precisa mais. Dados que você não possui não podem vazar.
  2. Restrinja o acesso. Dê a cada pessoa acesso apenas ao que seu trabalho exige, e remova contas quando as pessoas saírem.
  3. Use autenticação multifator. Senhas roubadas são uma forma comum de entrada, e um segundo fator eleva a barreira.
  4. Segmente sua rede. Mantenha sistemas sensíveis separados para que uma violação não exponha tudo.
  5. Criptografe dados sensíveis em repouso. Arquivos roubados que estão devidamente criptografados são muito menos úteis para o ladrão.
  6. Monitore transferências incomuns. Movimentação de dados de saída grande ou estranha pode ser um sinal de alerta precoce.
  7. Mantenha backups testados e offline de qualquer forma. Ataques de criptografia não desapareceram, e grupos podem combinar ambos os métodos.
  8. Prepare um plano de incidentes. Decida com antecedência quem chamar, incluindo assessoria jurídica e seu provedor de TI, antes que a pressão chegue.

Para uma visão de como uma grande operação de ransomware se move da entrada à extorsão, a análise do LockBit 3.0 cobrindo 2.000 vítimas em 95 países mapeia toda a cadeia de ataque e mostra onde os defensores podem interrompê-la.

Onde uma VPN se encaixa e onde não se encaixa

Uma VPN pode ser uma parte útil da configuração de uma pequena empresa, mas não é uma cura para ransomware. Seu principal valor é proteger o tráfego entre trabalhadores remotos e recursos da empresa, especialmente em redes públicas ou não confiáveis, e limitar quão expostos os serviços internos estão à internet aberta.

O que uma VPN não faz é impedir phishing, corrigir software desatualizado ou evitar que um funcionário com credenciais válidas seja enganado para entregá-las. Se um atacante fizer login com credenciais roubadas, uma VPN pode até lhe dar um caminho conveniente para dentro. Ela também não criptografa os arquivos que estão nos seus servidores nem monitora dados saindo da sua rede.

Pense em uma VPN como uma camada entre várias. Ela funciona melhor ao lado de autenticação forte, patches, controles de acesso e monitoramento.

O que isso significa para você

Se você administra ou trabalha para uma pequena empresa, assuma que ter backups não é mais suficiente. A pergunta a fazer não é apenas "Podemos nos recuperar?", mas também "O que alguém poderia roubar, e o que aconteceria se publicasse isso?"

Equipes pequenas não precisam de orçamentos corporativos para melhorar sua posição. Reduzir a quantidade de dados sensíveis que você mantém, apertar quem pode acessá-los e ativar a autenticação multifator abordam exatamente a alavanca que os grupos de extorsão puxam. Trate qualquer VPN como uma ferramenta de apoio, não como o plano em si.

Principais conclusões

  • O ransomware aumentou supostamente quase 50%, com as pequenas empresas sendo as mais atingidas.
  • Mais grupos roubam dados sem criptografá-los, então backups sozinhos não podem resolver uma demanda de extorsão.
  • Limite a exposição minimizando os dados armazenados, restringindo o acesso e criptografando o que resta.
  • Use uma VPN como uma camada de defesa, não como substituta para o resto.

Esta semana, audite quais dados sua empresa armazena e quem pode acessá-los. Depois leia como um grande grupo opera em nossa análise do ransomware LockBit 3.0 para ver como esses ataques se desenrolam na prática e onde suas defesas de roubo de dados por ransomware, extorsão e pequenas empresas devem ser mais fortes.