Experții Delta Crisis: Cum ar trebui companiile să negocieze cu atacatorii ransomware

Atacurile ransomware nu mai sunt o problemă rezervată marilor corporații cu resurse financiare consistente și echipe de securitate dedicate. Potrivit lui Michael Sjøberg și Peter Skovbo de la Delta Crisis, companiile de dimensiuni medii, coloana vertebrală a multor economii naționale, se trezesc tot mai des paralizate de atacatori care criptează sisteme critice și cer plata pentru a restabili accesul. Îndrumările lor, publicate prin Handelsblatt, oferă o perspectivă internă rară asupra modului în care companiile negociază de fapt cu șantajiștii cibernetici și ce pași pot reduce daunele chiar înainte ca un atac să aibă loc.

De ce companiile de dimensiuni medii sunt noua țintă

Timp de ani de zile, titlurile despre ransomware s-au concentrat pe spitale, agenții guvernamentale și corporații multinaționale. Această imagine se schimbă. Atacatorii și-au dat seama că firmele mai mici și cele de dimensiuni medii nu au adesea apărarea stratificată a întreprinderilor mari, dar dețin totuși date valoroase și nu își pot permite perioade prelungite de nefuncționare. Această schimbare reflectă o tendință mai largă documentată și în altă parte în ecosistemul ransomware, unde unele grupuri s-au orientat către ceea ce cercetătorii numesc suprimarea pe zone a rețelelor IMM, vizând grupuri întregi de organizații mai mici, mai degrabă decât selectând cu meticulozitate victime unice de mare valoare. Logica este simplă: volumul înlocuiește precizia, iar chiar și plățile de răscumpărare modeste se adună atunci când sunt multiplicate pe zeci de victime.

Experiența Delta Crisis sugerează că, odată ce un atac are loc, diferența dintre o companie care își revine cu daune limitate și una care suferă prejudicii de durată se rezumă adesea la pregătire și la modul în care este gestionată negocierea în primele ore și zile.

În culisele unei negocieri ransomware

Potrivit lui Sjøberg și Skovbo, negocierea cu infractorii cibernetici nu înseamnă doar a decide dacă să plătești sau nu. Necesită înțelegerea modelului de afaceri al atacatorului, verificarea datelor care au fost efectiv furate sau criptate și gestionarea comunicării într-un mod care nici să nu provoace grupul să distrugă datele, nici să semnaleze disperare care ar putea crește cererea. Aceasta este o muncă delicată, care seamănă tot mai mult cu o industrie de servicii profesionale de ambele părți ale mesei. Această profesionalizare este vizibilă în întreg peisajul ransomware. Grupurile au adoptat modele structurate de ransomware-ca-serviciu, un tipar observat și în avertismentele despre expansiunea ransomware-ului Gunra într-o operațiune RaaS, unde afiliații lansează atacuri folosind instrumente create de un grup central în schimbul unei părți din încasări. Rezultatul este un proces de șantaj mai scalabil și repetabil, ceea ce explică exact de ce strategia de negociere contează atât de mult pentru victimă.

Punctul de intrare pentru multe dintre aceste atacuri merită, de asemenea, atenție. Atacatorii obțin frecvent accesul inițial prin inginerie socială, mai degrabă decât prin exploatarea unor defecte tehnice obscure. Campaniile care abuzează de instrumente precum Microsoft Teams pentru a se da drept personal IT fals arată cum un singur apel telefonic sau mesaj de chat convingător poate deschide ușa către un compromis complet al rețelei, cu mult înainte ca vreo notă de răscumpărare să apară.

Miza confidențialității și expunerii datelor

Negocierea ransomware nu înseamnă doar restabilirea accesului la fișierele criptate. Grupurile ransomware moderne fură de obicei datele înainte de a le cripta, apoi amenință că publică sau vând acele informații dacă nu se efectuează plata. Acest model de dublu șantaj ridică considerabil miza în ceea ce privește confidențialitatea. Datele clienților, informațiile despre angajați și informațiile de afaceri confidențiale pot ajunge expuse indiferent dacă o companie plătește sau nu. Atacatorii au devenit, de asemenea, mai sofisticați în ceea ce privește evitarea detectării în timpul fazei de intruziune, inclusiv tehnici care dezactivează complet instrumentele de securitate, așa cum se vede în relatările despre ransomware-ul GodDamn care abuzează un driver semnat pentru a dezactiva software-ul antivirus. Acest tip de stealth înseamnă că o breșă poate rămâne nedetectată mult mai mult timp, oferind atacatorilor mai mult timp pentru a extrage date sensibile înainte ca cineva să își dea seama că ceva este în neregulă.

Ce înseamnă acest lucru pentru tine

Dacă conduci sau lucrezi la o companie de dimensiuni medii, mesajul de la Delta Crisis este clar: pregătirea împotriva ransomware nu mai este opțională și începe cu mult înainte de producerea unui atac. Igiena de bază, copiile de rezervă offline, planurile de răspuns la incident testate și instruirea personalului împotriva ingineriei sociale rămân cea mai puternică apărare. Dacă un atac are loc totuși, decizia de a plăti sau nu și modul de negociere nu ar trebui niciodată luate în mod izolat sau sub panică. Negociatorii experimentați înțeleg psihologia atacatorului, verifică afirmațiile înainte de a le crede și știu cum să câștige timp fără să escaladeze amenințările împotriva datelor furate.

Pentru persoanele ale căror date pot fi stocate în sistemele unei companii, acest lucru subliniază, de asemenea, de ce organizațiile datorează transparență clienților atunci când are loc o breșă, deoarece negocierile ransomware afectează direct dacă informațiile personale rămân private sau ajung să fie scurse.

Concluzii cheie

Companiile de orice dimensiune ar trebui să trateze ransomware-ul ca pe un scenariu de tip „când", nu „dacă". Construiește un plan de răspuns la incident înainte de un atac, menține copii de rezervă offline testate și identifică din timp cine va gestiona comunicarea dacă șantajiștii fac contact. Instruiește personalul să recunoască tentativele de inginerie socială, în special impostura prin instrumente de colaborare de zi cu zi. Dacă negocierea devine necesară, implică profesioniști experimentați, mai degrabă decât să improvizezi, deoarece modul în care o companie răspunde în primele ore poate modela atât rezultatul financiar, cât și cât de multe date personale sau corporative ajung în cele din urmă expuse.