Ce arată noile date despre extorcarea repetată prin ransomware

Noi cifre raportate de Connor Jones la DataBreaches.Net confirmă ceea ce cercetătorii în securitate bănuiau de ani de zile: plata unei bande ransomware nu încheie calvarul, ci adesea marchează începutul rundei a doua. Conform datelor unui sondaj citat alături de raport, 58% dintre organizațiile britanice afectate au ales să plătească o cerere de răscumpărare anul trecut. Dintre cele care au plătit, 22% au fost lovite din nou de același grup sau de un alt grup infracțional, care a cerut o a doua plată.

Asta înseamnă că aproximativ una din cinci organizații care au luat decizia dificilă de a plăti nu a primit nimic durabil pentru banii săi. Ciclul de extorcare s-a resetat pur și simplu, uneori în câteva săptămâni. Acest tipar al plăților repetate de extorcare prin ransomware devine o trăsătură definitorie a peisajului actual al amenințărilor și forțează echipele de securitate și directorii să regândească întregul calcul privind posibilitatea ca plata să fie vreodată un răspuns rațional.

De ce plata o singură dată invită la un al doilea atac

Logica din spatele extorcării repetate este simplă din perspectiva infractorului. Odată ce o organizație demonstrează că este dispusă să plătească, ea devine o țintă marcată. Operatorii de ransomware țin evidența victimelor care au cedat, cât de repede au plătit și cât de mult au fost dispuse să ofere. Aceste informații circulă adesea printre rețelele de afiliați și sunt uneori vândute sau împărtășite între grupurile infracționale care operează sub un model ransomware-as-a-service.

O victimă care plătește 500.000 de dolari o dată a semnalat efectiv că are atât rezervele de numerar, cât și toleranța la risc pentru a plăti din nou. Atacatorii știu că o a doua intruziune, chiar și una mai puțin sofisticată, are șanse mari de reușită dacă vulnerabilitățile subiacente care au permis prima breșă nu au fost niciodată remediate complet. În multe cazuri de dublă și triplă extorcare, datele furate nici măcar nu sunt șterse după plată, în ciuda promisiunilor contrare, lăsând ușa deschisă pentru o cerere ulterioară construită în jurul amenințării de a publica aceleași informații furate.

Acesta este tocmai motivul pentru care agențiile de aplicare a legii, inclusiv FBI, au recomandat constant să nu se plătească răscumpărările. Plata nu garantează recuperarea datelor, nu garantează ștergerea fișierelor furate și, după cum arată aceste noi date, nu garantează că atacatorii vor sta departe.

Apărări proactive care reduc riscul de ransomware

Dacă plata nu rezolvă problema în mod fiabil, calea mai sustenabilă este reducerea probabilității unei breșe de succes în primul rând. Mai multe straturi defensive apar constant în constatările răspunsului la incidente ca diferența dintre un incident izolat și unul catastrofal.

Segmentarea rețelei limitează distanța pe care un atacator o poate parcurge după ce obține un punct inițial de sprijin. În loc de o singură rețea plată în care o singură credențială compromisă deschide accesul la tot, mediile segmentate forțează atacatorii să lupte pentru fiecare centimetru suplimentar, oferind apărătorilor timp pentru a detecta și a răspunde.

Controlul accesului de tip zero-trust presupune că niciun utilizator sau dispozitiv nu este automat de încredere, chiar și în interiorul perimetrului corporației. Fiecare cerere de acces este verificată, ceea ce face mult mai greu ca doar credențialele furate să deblocheze sistemele critice.

Backup-urile fiabile, testate și offline rămân una dintre cele mai eficiente apărări disponibile împotriva ransomware. Fișierele criptate încetează să mai fie o pârghie atunci când o organizație poate restabili operațiunile din backup-uri curate, fără a negocia cu nimeni. Cuvântul cheie este testate: backup-urile care nu au fost verificate prin exerciții reale de restaurare eșuează adesea exact atunci când este cea mai mare nevoie de ele.

Autentificarea multi-factor, aplicarea la timp a patch-urilor pe sistemele expuse la internet și monitorizarea continuă pentru mișcarea laterală neobișnuită completează linia de bază care separă organizațiile care își revin rapid de cele care ajung să se confrunte cu o a doua cerere de extorcare.

Ce ar trebui să facă organizațiile în loc să plătească

Atunci când are loc un incident ransomware, instinctul de a plăti rapid și de a face problema să dispară este de înțeles, mai ales sub presiunea clienților, a autorităților de reglementare sau a unui consiliu de administrație care cere o rezolvare rapidă. Dar datele privind extorcarea repetată arată clar că plata nu este o strategie de ieșire fiabilă. Organizațiile sunt mai bine servite implicând forțele de ordine din timp, angajând profesioniști în răspunsul la incidente care pot evalua amploarea reală a expunerii datelor și fiind transparente cu părțile interesate afectate, mai degrabă decât să presupună că o plată discretă va face problema să dispară.

Ce înseamnă asta pentru tine

Fie că administrezi IT-ul pentru o afacere mică sau supraveghezi politica de securitate la o organizație mai mare, aceste date sunt un semnal clar de a realoca prioritățile. Banii destinați fondurilor de urgență pentru răscumpărări sunt mult mai bine cheltuiți pe proiecte de segmentare, implementări de zero-trust și infrastructură de backup testată periodic. Polițele de asigurare cibernetică și contractele de retainer pentru răspunsul la incidente ar trebui, de asemenea, revizuite pentru a se asigura că pun accentul pe prevenire și capacitatea de recuperare, mai degrabă decât pe simpla acoperire a unei plăți.

Pentru persoane fizice, ideea este similară la o scară mai mică: parole puternice, unice, autentificare multi-factor și backup-uri regulate ale dispozitivelor personale și de familie reduc șansa ca o singură infecție ransomware să devină un coșmar repetat.

Concluzii aplicabile

  • Tratați plata răscumpărării ca pe o ultimă soluție, nu ca pe un prim plan de răspuns; datele arată că frecvent nu reușește să pună capăt amenințării.
  • Investiți în segmentarea rețelei astfel încât un singur cont compromis să nu poată expune întregul mediu.
  • Adoptați principiile zero-trust pentru accesul intern și la distanță, verificând fiecare cerere mai degrabă decât având încredere exclusiv în locația rețelei.
  • Mențineți backup-uri offline, testate periodic, astfel încât recuperarea să nu depindă de negocierea cu infractorii.
  • Elaborați un plan de răspuns la incidente acum, înainte de a avea loc un atac, pentru ca deciziile să nu fie luate sub panică și presiune.

Creșterea plăților repetate de extorcare prin ransomware este un argument puternic pentru a muta resursele de la negocierea reactivă la apărarea proactivă. Organizațiile care fac această schimbare acum vor fi mult mai bine poziționate decât cele care încă speră că o singură plată va face problema să dispară.