De ce plata unei răscumpărări nu încheie problema

Când ransomware-ul blochează sistemele unei companii, instinctul de a plăti și a merge mai departe este de înțeles. Un nou sondaj realizat de compania de securitate Proofpoint, pe 953 de companii, sugerează că acest instinct se poate întoarce împotriva ta. Conform rezultatelor, organizațiile care plătesc o cerere de răscumpărare devin adesea ținte mai atractive, nu mai puțin atractive. Odată ce un grup infracțional confirmă că o victimă este dispusă să plătească, aceeași victimă poate fi marcată pentru un atac ulterior.

Acest lucru contează pentru că logica din spatele plăților de răscumpărare s-a bazat întotdeauna pe un schimb simplu: bani pentru închiderea problemei. Directorii aprobă plățile crezând că acestea restaurează sistemele, determină ștergerea datelor furate, limitează întreruperea activității și protejează clienții. Cercetarea Proofpoint indică faptul că acest schimb este mult mai puțin fiabil decât presupun majoritatea organizațiilor. Plata nu încheie neapărat relația cu atacatorul; în unele cazuri, începe una nouă.

Logica de business din spatele unei a doua cereri

Grupările de ransomware funcționează ca niște afaceri, iar afacerile caută clienți fideli. O companie care a demonstrat deja că va plăti este, din perspectiva infractorului, o sursă de venit dovedită. Are capital de lucru, o echipă de conducere dispusă să autorizeze plata rapid și, probabil, are în continuare aceleași vulnerabilități care au permis primul atac să reușească.

Ultimul punct este esențial. Plata unei răscumpărări rezolvă criza imediată, dar rareori remediază lacunele de securitate subiacente care au permis atacatorilor să intre. Dacă același vector de phishing, software nepatch-uit sau punct de acces la distanță expus este încă prezent după incident, nimic nu împiedică același grup, sau un afiliat care a cumpărat acces la aceleași date ale victimei, să încerce din nou. Articolul nostru anterior despre cercetarea Proofpoint privind plătitorii de ransomware detaliază cât de frecvent apar aceste incidente repetate și de ce plata în sine poate funcționa ca un semnal pentru alte grupuri infracționale că ținta este vulnerabilă.

Reducerea riscului de extorcare înainte de a începe

Vestea bună este că organizațiile nu sunt neputincioase aici. Pașii care reduc riscul de ransomware sunt, în mare parte, aceiași pași pe care echipele de securitate i-au recomandat ani la rând, doar că devin mai urgenti în lumina acestor date.

Menținerea unor copii de rezervă offline, testate, rămâne cea mai eficientă metodă de a evita cu totul decizia de a plăti sau nu. Dacă sistemele pot fi restaurate din backup fără a folosi cheia de decriptare a atacatorului, întreaga premisă a extorcării se prăbușește. Segmentarea rețelei contează și ea: limitarea distanței pe care un atacator o poate parcurge odată intrat reduce raza de distrugere a oricărei compromiteri individuale, ceea ce, la rândul său, reduce pârghiile în timpul negocierii răscumpărării.

Monitorizarea continuă a amenințărilor și detecția la nivel de endpoint ajută la depistarea intruziunilor înainte ca acestea să escaladeze în evenimente de criptare completă. Multe atacuri ransomware se desfășoară pe parcursul mai multor zile sau săptămâni între accesul inițial și încărcătura finală; această fereastră este o oportunitate de a interveni. Practicile de acces securizat la distanță, inclusiv utilizarea unui VPN pentru conexiuni criptate și autentificarea multi-factor pentru oricine se conectează din afara rețelei corporative, blochează unul dintre cele mai comune puncte de intrare exploatate de infractori. Niciuna dintre aceste măsuri nu garantează imunitatea, dar împreună reduc șansele ca o afacere să se confrunte cu o notă de răscumpărare.

Ce înseamnă asta pentru tine

Dacă organizația ta este vreodată lovită de ransomware, concluziile Proofpoint sugerează că plata nu ar trebui tratată ca o soluție curată. Înainte de a autoriza orice plată, merită să te întrebi dacă vulnerabilitatea de bază a fost identificată și închisă, pentru că dacă nu a fost, plata poate fi pur și simplu prima rată dintr-o relație continuă cu atacatorul.

Acesta este, de asemenea, un moment pentru a implica forțele de ordine din timp, nu ca pe un gând ulterior. Agențiile care urmăresc grupările de ransomware pot oferi uneori instrumente de decriptare, informații despre amenințări legate de comportamentul unei anumite bande sau context despre dacă un grup are un istoric de extorcare repetată. Apelarea la expertiză externă de răspuns la incidente înainte de a lua o decizie de plată, nu după, oferă organizației o imagine mai clară a opțiunilor reale.

Pentru întreprinderile mai mici, fără echipe de securitate dedicate, calculul este similar, dar resursele sunt mai reduse. Asta face ca prevenția să fie și mai importantă: igiena de bază, cum ar fi backup-uri regulate, software patch-uit și instrumente de acces securizat la distanță, face mai mult pentru reducerea riscului decât poate face orice decizie post-incident.

Concluzii principale

Lecția de bază din acest sondaj Proofpoint este simplă: plata unei răscumpărări cumpără timp, nu neapărat siguranță. Organizațiile ar trebui să trateze fiecare incident de ransomware ca pe o dovadă a unei lacune de securitate care trebuie remediată, indiferent dacă se face sau nu o plată. Printre pașii practici care merită prioritizați se numără menținerea backup-urilor offline, segmentarea rețelelor, monitorizarea semnelor timpurii de intruziune și securizarea accesului la distanță cu autentificare puternică și conexiuni criptate.

Cel mai important, orice decizie de plată ar trebui luată în paralel cu un plan serios de remediere, nu în locul acestuia. Grupările de ransomware conduc o afacere, iar datele sugerează că știu exact ce clienți merită facturați de două ori.