Un avertisment comun din partea FBI, CISA și agențiilor UE a adus grupul de ransomware SafePay în prim-plan, SUA, Regatul Unit și Germania fiind nominalizate ca ținte ale campaniei globale a grupului. Detaliul cheie pentru utilizatorii obișnuiți și întreprinderile mici: atacatorii vizează backup-urile. Astfel, protecția backup-urilor împotriva ransomware SafePay devine o problemă mai amplă decât simpla deținere a unei a doua copii a fișierelor tale.

Articolul sursă este scurt, așa că această postare se concentrează pe ceea ce semnalează avertismentul și pe măsurile practice pe care le poți lua. Acolo unde descriem comportamentul tipic al atacatorilor, acesta reflectă raportările publice generale despre SafePay și practica comună în domeniul ransomware.

Ce face ransomware SafePay și cine este vizat

SafePay este un grup de ransomware, ceea ce înseamnă că pătrunde în rețele, blochează datele și cere plată pentru restabilirea accesului. Rapoartele publice de amenințare îl descriu ca o operațiune de dublă extorcare: atacatorii copiază date din sistemele victimei înainte de a le cripta, apoi cer plata în criptomonedă. Amenințarea constă atât în pierderea accesului, cât și în scurgerea fișierelor sensibile.

Avertismentul comun descrie o campanie globală, iar agențiile implicate acoperă SUA, Regatul Unit și Germania. Grupurile de ransomware rareori se limitează la marile corporații. Întreprinderile mici, clinicile, școlile și birourile locale au adesea date valoroase, dar apărări mai slabe, ceea ce le face atractive. Persoanele fizice cu dispozitive de stocare în rețea acasă sau într-un birou la domiciliu pot fi, de asemenea, expuse.

Raportările publice despre SafePay spun că operatorii săi intră de obicei prin furtul sau ghicirea parolelor și prin exploatarea vulnerabilităților din sistemele de securitate. Nimic din toate acestea nu este exotic, și de aceea elementele de bază contează atât de mult.

De ce atacatorii vizează mai întâi backup-urile

Backup-urile sunt plasa de siguranță. Dacă o victimă poate restaura dintr-o copie curată, cererea de răscumpărare își pierde cea mai mare parte a pârghiei. Așa că atacatorii care înțeleg acest lucru încearcă să elimine plasa înainte de a trage trăgaciul. Ștergerea, criptarea sau coruperea backup-urilor mai întâi înseamnă că, atunci când apare nota de răscumpărare, opțiunile de recuperare au dispărut deja.

Aceasta este schimbarea care merită asimilată. Mulți oameni consideră un backup ca pe ceva ce pur și simplu există. În practică, un backup accesibil din rețeaua ta principală, folosind aceleași credențiale de autentificare, poate fi găsit și distrus de oricine obține acel acces. O copie aflată pe un drive conectat permanent la computer, sau un folder cloud care se sincronizează automat, poate fi criptată împreună cu tot restul.

Cum să protejezi backup-urile: copii offline, imutabilitate și criptare

O bună protecție a backup-urilor împotriva ransomware SafePay începe cu presupunerea că un atacator va avea în cele din urmă acces la sistemele tale principale, apoi cu asigurarea că backup-urile tale supraviețuiesc acestui scenariu. Trei idei ajută:

  • Păstrează o copie offline sau izolată. Un drive extern care este deconectat după fiecare backup nu poate fi criptat de la distanță. Pentru afaceri, aceasta înseamnă copii care nu sunt accesibile în mod continuu din rețeaua de producție.
  • Folosește backup-uri imutabile. Imutabilitatea înseamnă că un backup nu poate fi modificat sau șters pentru o perioadă stabilită, chiar și de un cont de administrator. Multe instrumente de backup și servicii de stocare în cloud oferă acest lucru ca setare. Dacă un atacator fură credențiale de administrator, copiile blocate rămân intacte.
  • Criptează-ți backup-urile. Criptarea nu va împiedica un atacator să șteargă date, dar protejează conținutul dacă o copie este furată. Acest lucru contează în cazul dublei extorcări, unde datele scurse fac parte din presiune.

Două obiceiuri de susținere sunt la fel de importante. Folosește credențiale separate pentru sistemele de backup, ideal protejate cu autentificare multi-factor, astfel încât o parolă zilnică furată să nu le deblocheze. Și testează restaurările în mod regulat. Un backup pe care nu l-ai restaurat niciodată este o presupunere, nu un plan.

Apărări de bază care opresc intruziunea inițială

Protejarea backup-urilor este ultima linie de apărare. Rezultatul mai bun este să ții atacatorii afară. Deoarece raportările indică parole furate sau ghicite și vulnerabilități exploatate, cele mai utile apărări sunt cele neremarcabile:

  • Activează autentificarea multi-factor pe e-mail, accesul la distanță, conturile cloud și consolele de backup.
  • Folosește parole puternice și unice stocate într-un manager de parole, astfel încât o credențială scursă să nu deschidă mai multe uși.
  • Aplică patch-uri prompt, în special pentru sistemele expuse la internet, cum ar fi firewall-urile, instrumentele de acces la distanță și software-ul de backup. Vulnerabilitățile cunoscute nepatch-uite sunt o cale comună de intrare.
  • Limitează accesul la distanță. Dezactivează serviciile pe care nu le folosești și restricționează cine poate accesa restul.

Un VPN poate ajuta la securizarea conexiunilor la distanță către o rețea de lucru, dar nu este un substitut pentru patch-uri și MFA și nu va proteja backup-urile de unul singur.

Ce înseamnă acest lucru pentru tine

Natura internațională a acestui avertisment merită remarcată. Guvernele care cooperează transfrontalier în privința amenințărilor cibernetice nu este ceva nou; alianțe precum Five Eyes și mai amplul Fourteen Eyes sunt cunoscute pentru schimbul de informații, deși aceste aranjamente privesc datele de supraveghere și sunt o chestiune separată de acest aviz de ransomware. Concluzia pentru cititori este mai simplă: atunci când mai multe agenții emit un avertisment comun, amenințarea este amplă și nu se limitează la o singură regiune sau industrie.

Pentru persoanele fizice, aceasta înseamnă să verifici dacă backup-urile tale sunt cu adevărat separate de computer. Pentru întreprinderile mici, înseamnă să întrebi cine poate șterge backup-urile tale și dacă acel cont este protejat de MFA.

Concluzii acționabile

Protecția backup-urilor împotriva ransomware SafePay se reduce la un audit scurt pe care îl poți finaliza săptămâna aceasta:

  1. Verifică-ți configurația de backup. Ai cel puțin o copie care este offline sau imutabilă?
  2. Separă credențialele. Asigură-te că accesul la backup folosește autentificări diferite față de conturile zilnice.
  3. Activează MFA peste tot unde este oferit, începând cu e-mailul, accesul la distanță și instrumentele de backup.
  4. Instalează actualizările în așteptare, prioritizând firewall-urile, software-ul de acces la distanță și aplicațiile de backup.
  5. Testează o restaurare a câtorva fișiere pentru a confirma că backup-urile funcționează efectiv.

Niciunul dintre acești pași nu este complicat, iar împreună elimină pârghia de care depind grupurile de ransomware. Începe cu auditul astăzi.