Ce arată noile date despre plățile ransomware

Un nou raport al companiei de securitate Proofpoint, publicat miercuri, oferă o confirmare inconfortabilă pentru oricine s-a gândit vreodată să plătească o bandă de ransomware pentru a scăpa de o problemă: o proporție semnificativă a victimelor care plătesc ajung să se confrunte cu o a doua cerere de extorcare. Raportul întărește ceea ce cercetătorii în securitate și respondenții la incidente susțin de ani de zile, și anume că negocierile privind ransomware-ul nu sunt purtate cu bună-credință și că plata nu garantează că atacatorul va renunța cu adevărat.

Datele Proofpoint adaugă cifre concrete unui tipar pe care apărătorii l-au bănuit de mult timp pe baza dovezilor anecdotice. Organizațiile care cedează unei cereri de răscumpărare nu cumpără o încheiere. Adesea cumpără o a doua rundă de pârghie pentru același atacator sau pentru un grup complet diferit, pentru a reveni și a cere mai mult.

De ce plata unei răscumpărări atrage un al doilea atac

Logica din spatele extorcării repetate este simplă odată ce o privești din perspectiva atacatorului. Întregul model de afaceri al unui grup de ransomware se bazează pe convingerea victimelor că plata pune capăt crizei. Dar nu există niciun contract legal, niciun mecanism de aplicare și niciun risc reputațional suficient de puternic pentru a garanta cuvântul unui atacator după ce banii au fost transferați. Dacă o victimă a demonstrat deja disponibilitatea și capacitatea de a plăti, acea victimă devine o țintă mai atractivă, nu un cont închis.

Acesta este unul dintre motivele pentru care cercetătorii în securitate descriu negocierea ransomware ca fiind fundamental diferită de o tranzacție comercială obișnuită. Nu există niciun stimulent pentru cealaltă parte să plece cu adevărat. Un grup infracțional care a reușit să obțină o plată o dată are toate motivele să testeze dacă aceeași organizație va plăti din nou, fie prin criptarea repetată a sistemelor, amenințarea cu scurgerea datelor furate anterior pentru a doua oară sau pur și simplu redeschiderea unei noi cereri legate de breșa inițială.

Această dinamică este strâns legată de ceea ce industria numește dublă extorcare sau extorcare multiplă, unde atacatorii nu doar criptează fișierele, ci și fură datele în prealabil, oferindu-le mai multe puncte de presiune pentru a stoarce o victimă chiar și după ce răscumpărarea a fost plătită. Constatările Proofpoint sugerează că, chiar și după ce campania inițială de presiune reușește, fântâna nu seacă neapărat.

Cum breșele nedetectate facilitează re-extorcarea

Un motiv pentru care extorcarea repetată funcționează atât de bine pentru atacatori este că multe victime nu înțeleg pe deplin amploarea unei breșe până în momentul în care decid să plătească. Dacă o organizație descoperă fișiere criptate și negociază o răscumpărare fără a identifica mai întâi exact ce date au fost accesate, copiate sau lăsate în urmă ca ușă din spate, a acceptat practic un preț fără să știe ce cumpără de fapt înapoi.

Acest decalaj între detectare și răspuns este o temă recurentă în cercetarea ransomware. După cum se arată în un raport conex despre eșecurile de detectare a ransomware-ului, aproape jumătate dintre victimele ransomware pierd date înainte chiar de a-și da seama că un atac este în desfășurare. Această întârziere contează enorm aici: dacă o victimă nu știe că un atacator a exfiltrat date cu săptămâni înainte de a implementa ransomware-ul, plata pentru deblocarea fișierelor nu rezolvă nimic în privința informațiilor furate care se află pe un server infracțional, care pot fi monetizate din nou printr-o a doua cerere, vândute separat sau utilizate pentru o nouă amenințare de scurgere ulterioară.

Măsuri defensive: Backup-uri, monitorizare și planificarea răspunsului la incidente

Concluzia practică a raportului Proofpoint nu este că plata răscumpărării nu ar trebui să aibă loc niciodată, în nicio circumstanță. Ci că plata nu ar trebui tratată niciodată ca o rezolvare garantată. Organizațiile și persoanele care administrează rețele mai mici sau afaceri sunt mai bine deservite investind în amonte în prevenție și detectare, decât în aval în negociere.

Asta înseamnă menținerea unor backup-uri regulate, testate și offline, astfel încât fișierele criptate să poată fi restaurate fără a plăti nimănui. Înseamnă investirea în instrumente de monitorizare care pot detecta accesul neautorizat la date înainte ca atacatorii să aibă timp să exfiltreze volume mari de informații sensibile. Și înseamnă să ai un plan de răspuns la incidente pus la punct înainte de producerea unui atac, unul care să includă investigații criminalistice pentru a determina exact ce a fost accesat, nu doar dacă fișierele au fost criptate.

Ce înseamnă asta pentru tine

Pentru proprietarii de mici afaceri și persoane fizice, mesajul acestei cercetări este clar: nu presupuneți că plata unei răscumpărări este soluția rapidă și curată care pare în acel moment. Atacatorii care au dovedit deja că sunt dispuși să vă extorcheze o dată au atât mijloacele, cât și motivul să o facă din nou. Adevărata apărare împotriva atacurilor repetate de extorcare ransomware nu este o strategie de negociere mai bună, ci reducerea probabilității de a vă afla în acea poziție în primul rând, prin backup-uri solide, detectare mai rapidă și un plan de răspuns clar.

Recomandări practice

  • Tratați plata răscumpărării ca pe o ultimă soluție, nu ca pe o remediere garantată, deoarece datele Proofpoint arată că atacatorii revin frecvent cu noi cereri.
  • Prioritizați backup-urile offline, testate, astfel încât criptarea în sine să nu forțeze o decizie de plată.
  • Investiți în instrumente de detectare care depistează timpuriu exfiltrarea datelor, deoarece detectarea întârziată oferă atacatorilor mai multe pârghii pentru extorcare repetată.
  • Elaborați un plan de răspuns la incidente înainte de producerea unui atac, incluzând pași criminalistici pentru a determina întreaga amploare a oricărei breșe.
  • Presupuneți că orice date furate înainte de plata răscumpărării rămân un risc viitor, indiferent de promisiunile atacatorilor.