Plata către o bandă de ransomware nu a fost niciodată o garanție a siguranței, dar noi cercetări pun o cifră exactă asupra frecvenței cu care acest pariu eșuează. Conform unor descoperiri recente, 58% dintre organizațiile din Regatul Unit afectate de ransomware au plătit răscumpărarea cerută, iar 22% dintre acești plătitori au fost loviți din nou cu o a doua tentativă de extorcare. Mesajul pentru echipele IT și pentru oricine ale cărui date personale trec prin rețele corporative este că vechiul scenariu „plătești și mergi mai departe” nu mai funcționează.

Noua realitate: plata nu încheie atacul

Ransomware-ul obișnuia să urmeze un scenariu destul de previzibil: atacatorii criptează fișierele, plătiți, primiți o cheie de decriptare, iar incidentul este închis. Acest scenariu a fost rescris. Trecerea la extorcarea dublă, în care atacatorii fură datele înainte de a le cripta și amenință că le vor divulga, indiferent de plată, înseamnă că o tranzacție de răscumpărare nu rezolvă nimic. Cifra de 22%, care arată extorcare repetată împotriva organizațiilor care au plătit deja, confirmă ceea ce mulți cercetători în securitate avertizează de ani de zile: odată ce datele v-au părăsit rețeaua, nu mai aveți niciun control real asupra a ceea ce se întâmplă cu ele mai departe. Un grup infracțional care a fost plătit o dată are toate stimulentele să revină, fie că este același actor sau unul diferit care lucrează cu accesul revândut.

Pentru administratorii Windows, în mod specific, aceasta schimbă calculul privind răspunsul la incident. În trecut, restaurarea din backup era tratată drept alternativa la plată. Acum, trebuie tratată ca așteptarea de bază, deoarece plata nu oprește în mod fiabil scurgerea de date pe partea de furt al datelor. Backup-urile testate, offline, controalele solide de securitate a identității și un plan documentat de recuperare sunt cele care rup cu adevărat ciclul, nu un transfer bancar către un portofel anonim.

Inteligența artificială accelerează compromiterea inițială

Cealaltă temă majoră din această cercetare este rolul tot mai mare al IA în primele etape ale unui atac. Compromiterea inițială, momentul în care atacatorii pătrund prima dată într-o rețea, este zona în care instrumentele IA au, potrivit raportărilor, cel mai mare impact. Recunoașterea mai rapidă, momele de phishing mai convingătoare și identificarea mai rapidă a vulnerabilităților exploatabile reduc fereastra pe care apărătorii o au pentru a sesiza că ceva nu este în regulă înainte ca daunele să fie produse.

Aceasta contează pentru că majoritatea apărărilor împotriva ransomware-ului sunt încă construite pe presupunerea că atacatorii au nevoie de timp pentru a se mișca printr-o rețea înainte de a provoca daune grave. Dacă IA comprimă acest interval de timp, organizațiile care se bazează exclusiv pe cicluri periodice de aplicare a patch-urilor și monitorizare manuală sunt din ce în ce mai expuse. Aceasta întărește motivul pentru care securitatea identității – lucruri precum autentificarea multi-factor, gestionarea accesului privilegiat și detectarea rapidă a anomaliilor – a devenit la fel de importantă ca protecția endpoint-urilor.

De ce furtul de date este adevărata poveste legată de confidențialitate

În timp ce fișierele criptate primesc majoritatea titlurilor de știre, modelul extorcării duble pune reflectorul pe ceva ce contează mai mult pentru oamenii obișnuiți: datele în sine. Fiecare incident ransomware care implică înregistrări HR furate, baze de date cu clienți sau fișiere ale angajaților este, în esență, un incident de confidențialitate. Gândiți-vă cum breșa sistemului HR al Statistics South Africa a expus datele angajaților, un caz care ilustrează cum sistemele interne care conțin informații personale sensibile pot deveni ținta reală, nu doar daune colaterale ale unui atac mai amplu. Atunci când grupurile de ransomware exfiltrează acest tip de date înainte de a bloca sistemele, plata răscumpărării nu anulează faptul că numele, salariile, adresele sau detaliile de sănătate ar putea fi deja pe un server infracțional sau deja scoase la vânzare.

Aceasta este partea care lipsește adesea din acoperirea pur tehnică a ransomware-ului: a doua tentativă de extorcare nu este doar o bătaie de cap corporativă, este un al doilea val de expunere pentru persoanele ale căror date au fost furate în primul rând. Angajații, clienții și pacienții rareori au un cuvânt de spus dacă organizația lor plătește, însă ei poartă riscul continuu de furt de identitate, phishing țintit sau fraudă mult timp după ce titlurile de știre dispar.

Ce înseamnă aceasta pentru dumneavoastră

Dacă lucrați în IT sau securitate, aceste date sunt un semnal clar să încetați să tratați plata răscumpărării drept o rezolvare și să începeți să o tratați ca pe o ultimă soluție de urgență. Planurile de recuperare, backup-urile imuabile și apărările axate pe identitate merită mai mult buget și timp de testare decât primesc de obicei. Dacă sunteți angajat sau client al unei organizații care a dezvăluit un incident ransomware, presupuneți că datele dumneavoastră ar fi putut fi copiate chiar dacă vi se spune că sistemele au fost „restaurate”. Monitorizați-vă conturile, fiți atenți la tentativele de phishing care fac referire la breșă și luați în considerare monitorizarea creditului dacă au fost implicate date personale sau financiare sensibile.

Măsuri concrete

Organizațiile ar trebui să auditeze regulat integritatea backup-urilor și să verifice dacă backup-urile sunt cu adevărat izolate de rețeaua de producție. Autentificarea multi-factor și accesul cu cel mai mic privilegiu ar trebui să fie nenegociabile pe toate sistemele, nu doar pe cele critice. Planurile de răspuns la incident trebuie să abordeze în mod explicit scenariul extorcării duble, inclusiv pașii legali și de comunicare pentru atunci când datele furate apar publice. Persoanele afectate de orice dezvăluire ransomware ar trebui să își schimbe parolele, să activeze autentificarea multi-factor acolo unde este disponibilă și să rămână vigilente la escrocherii ulterioare. Datele arată clar că extorcarea secundară prin ransomware nu mai este un caz rar limită, ci devine o parte standard a ciclului de viață al atacului, iar pregătirea este singura apărare reală.