Ransomware-ul era cândva o problemă simplă și brutală: atacatorii îți blocau fișierele și cereau plată pentru cheie. Astăzi tabloul este mai complicat. Acest ghid oferă o prezentare explicată a ransomware-ului cu dublă extorcare pentru cititorii obișnuiți, bazată pe un comentariu recent în limba japoneză al lui Masaya Kinoshita, care descrie modul în care daunele produse de ransomware au devenit din ce în ce mai sofisticate și mai grave.

Punctul central este că tactica dominantă este acum „dubla extorcare". Atacatorii nu mai criptează doar datele. Ei fură și informații și amenință că le vor divulga dacă cererile lor nu sunt îndeplinite. Această schimbare modifică ceea ce înseamnă apărare, atât pentru organizații, cât și pentru indivizii ale căror date sunt deținute de aceste organizații.

Cum funcționează dubla extorcare

Într-un atac clasic de ransomware, criminalii criptează fișierele victimei și cer bani pentru decriptare. Întrebarea principală a victimei este dacă își poate restaura sistemele.

Dubla extorcare adaugă o a doua pârghie. Înainte sau în timpul criptării, atacatorii copiază informații sensibile din rețeaua victimei. Apoi prezintă două amenințări simultan:

  • Plătește, sau sistemele tale rămân blocate.
  • Plătește, sau datele tale furate vor fi publicate.

Comentariul descrie aceasta ca fiind abordarea dominantă, nu una exotică. A doua amenințare este ceea ce face tactica atât de eficientă. Chiar și o victimă cu un plan de recuperare perfect se confruntă în continuare cu perspectiva ca înregistrări ale clienților, detalii ale angajaților sau documente interne să apară în public.

De ce backupurile singure nu mai rezolvă problema

Backupul datelor rămâne esențial. Sursa subliniază asigurarea unor backupuri robuste ca una dintre măsurile specifice pe care organizațiile ar trebui să le adopte, deoarece backupurile bune permit victimei să restabilească operațiunile fără a plăti pentru o cheie de decriptare.

Dar backupurile răspund doar amenințării de criptare. Ele nu fac nimic în privința copiilor furate. Restaurarea fișierelor dintr-un backup curat nu aduce datele înapoi de pe serverul atacatorului. Odată ce informațiile au fost exfiltrate, victima a pierdut controlul asupra cine le vede, iar criminalii știu acest lucru.

De aceea sursa îmbină backupurile cu alte măsuri, cum ar fi autentificarea multi-factor. Împiedicarea atacatorilor de a intra, sau de a se deplasa liber odată aflați înăuntru, este singura modalitate de a preveni furtul de la bun început. Backupurile sunt un instrument de recuperare, nu un instrument de prevenire.

Ce înseamnă site-uri de scurgeri precum RansomHouse pentru datele tale personale

Presiunea din spatele dublei extorcări este adesea aplicată public. Sursa face referire la un site numit RansomHouse, un exemplu de site de scurgeri unde grupurile de extorcare numesc victimele și amenință că vor elibera sau chiar publică materialul furat. Videoclipul discutat în comentariu evidențiază acest tip de site ca parte a amenințării actuale.

Pentru oamenii obișnuiți, punctul cheie este că poți fi afectat fără a fi vreodată ținta. Dacă o companie, clinică, școală sau furnizor care deține informațiile tale este spart, datele tale pot face parte din ceea ce este furat. O listare pe un site de scurgeri este un semn că grupul face presiuni asupra organizației, nu o dovadă că afirmația este exactă. De exemplu, relatarea noastră despre listarea Everest ransomware a Capgemini Engineering notează că astfel de afirmații sunt de obicei neverificate în momentul în care apar.

Un exemplu recent al acestui tipar este breșa Uber Freight, unde grupul Helix a revendicat aproape 1M de fișiere după ce a listat compania pe site-ul său de scurgeri din dark web. Compania a declarat că investighează un incident de securitate a datelor. Dacă vrei să înțelegi unde ajung informațiile furate mai departe, explicarea noastră despre ce se întâmplă cu datele tale după o breșă acoperă reacția în lanț care poate urma.

Ce înseamnă asta pentru tine

Majoritatea cititorilor nu administrează o rețea corporativă, dar faci totuși parte din povestea dublei extorcări. Datele tale trăiesc în sistemele altor people, iar tu nu poți controla securitatea lor. Ce poți controla este cât de mult rău îți face o scurgere.

Un set publicat sau vândut de detalii personale poate alimenta phishingul, încercările de preluare a conturilor și impersonarea. Reutilizarea parolelor înrăutățește situația, deoarece o singură credențială scursă poate debloca mai multe conturi. Vestea bună este că câteva obiceiuri limitează drastic consecințele.

Pași practici pentru indivizi și organizații mici

Pentru indivizi:

  • Folosește o parolă unică pentru fiecare cont, stocată într-un manager de parole.
  • Activează autentificarea multi-factor oriunde este oferită, începând cu e-mailul, bankingul și stocarea în cloud.
  • Fii sceptic față de mesajele neașteptate care menționează detalii reale despre tine, deoarece datele scurse fac escrocheriile mai convingătoare.
  • Dacă ești notificat despre o breșă, schimbă imediat parola afectată și orice altele care se potriveau cu ea.
  • Împărtășește doar informațiile personale de care un serviciu are cu adevărat nevoie.

Pentru organizații mici:

  • Menține backupuri robuste și stochează cel puțin o copie offline sau separată de rețeaua principală, astfel încât atacatorii să nu o poată cripta și pe aceasta.
  • Solicită autentificarea multi-factor pentru angajați, în special pentru accesul de la distanță și conturile de administrare.
  • Colectează și păstrează mai puține date sensibile. Informațiile pe care nu le deții nu pot fi furate.
  • Pregătește un plan de incidente care acoperă furtul de date, nu doar recuperarea sistemelor, inclusiv pe cine ai notifica.

Concluzii cheie

Înțelegerea ransomware-ului cu dublă extorcare explicată în termeni simpli se reduce la o singură idee: criptarea este atacul vizibil, iar furtul este cel de durată. Backupurile îți protejează operațiunile, dar doar prevenirea, cum ar fi autentificarea multi-factor și limitarea datelor stocate, reduce șansa unei scurgeri.

Pentru a vedea ce se întâmplă de obicei după ce informațiile sunt luate, citește ghidul nostru despre ce se întâmplă cu datele tale după o breșă și consultă raportul Uber Freight și Helix ca exemplu recent al unei listări de extorcare pe un site de scurgeri. Apoi ia zece minute astăzi pentru a activa autentificarea multi-factor pe cele mai importante conturi ale tale.