Раньше программы-вымогатели были простой и жестокой проблемой: злоумышленники блокировали ваши файлы и требовали выкуп за ключ. Сегодня картина сложнее. Это руководство предлагает объяснение двойного вымогательства с использованием программ-вымогателей для широкой аудитории, основанное на недавнем комментарии на японском языке Масаи Киноситы, в котором описывается, как ущерб от программ-вымогателей становится всё более изощрённым и серьёзным.

Главный момент заключается в том, что основная тактика теперь — «двойное вымогательство». Злоумышленники больше не просто шифруют данные. Они также похищают информацию и угрожают её обнародовать, если их требования не будут выполнены. Этот сдвиг меняет само значение защиты — как для организаций, так и для людей, чьи данные эти организации хранят.

Как работает двойное вымогательство

При классической атаке программ-вымогателей преступники шифруют файлы жертвы и требуют деньги за расшифровку. Главный вопрос жертвы — сможет ли она восстановить свои системы.

Двойное вымогательство добавляет второй рычаг. До или во время шифрования злоумышленники копируют конфиденциальную информацию из сети жертвы. Затем они выдвигают две угрозы одновременно:

  • Платите, иначе ваши системы останутся заблокированными.
  • Платите, иначе ваши украденные данные будут опубликованы.

В комментарии это описывается как основный подход, а не экзотика. Именно вторая угроза делает эту тактику настолько эффективной. Даже жертва с идеальным планом восстановления всё равно сталкивается с перспективой появления клиентских записей, данных сотрудников или внутренних документов в открытом доступе.

Почему одних резервных копий больше недостаточно

Резервное копирование данных остаётсяessential. Источник подчёркивает обеспечение надёжных резервных копий как одну из конкретных мер, которые следует применять организациям, поскольку хорошие резервные копии позволяют жертве восстановить работу без оплаты ключа расшифровки.

Но резервные копии отвечают только на угрозу шифрования. Они ничего не делают с украденными копиями. Восстановление файлов из чистой резервной копии не вернёт ваши данные с сервера злоумышленника. Как только информация была похищена, жертва теряет контроль над тем, кто её увидит, и преступники это знают.

Именно поэтому источник сочетает резервные копии с другими мерами, такими как многофакторная аутентификация. Не дать злоумышленникам проникнуть внутрь или свободно перемещаться внутри — единственный способ предотвратить кражу в первую очередь. Резервные копии — это инструмент восстановления, а не предотвращения.

Что означают сайты утечек вроде RansomHouse для ваших личных данных

Давление при двойном вымогательстве часто оказывается публично. Источник ссылается на сайт под названием RansomHouse — пример сайта утечек, где группы вымогателей называют жертв и угрожают обнародовать или действительно публикуют украденные материалы. Видео, обсуждаемое в комментарии, выделяет такой сайт как часть текущей угрозы.

Для обычных людей ключевой момент в том, что вы можете пострадать, никогда не будучи целью. Если компания, клиника, школа или поставщик, хранящие вашу информацию, подверглись взлому, ваши данные могут оказаться среди украденного. Запись на сайте утечек — это признак того, что группа оказывает давление на организацию, а не доказательство достоверности заявления. Например, в нашем материале о включении Capgemini Engineering в список Everest ransomware отмечается, что такие заявления, как правило, не подтверждены на момент их появления.

Недавний пример такого паттерна — утечка Uber Freight, где группа Helix заявила о почти 1 млн файлов после размещения компании на своём сайте утечек в даркнете. Компания сообщила, что расследует инцидент безопасности данных. Если вы хотите понять, куда дальше попадает украденная информация, наш разбор что происходит с вашими данными после утечки охватывает цепную реакцию, которая может последовать.

Что это значит для вас

Большинство читателей не управляют корпоративной сетью, но вы всё равно часть истории двойного вымогательства. Ваши данные живут в чужих системах, и вы не можете контролировать их безопасность. Что вы можете контролировать — это насколько сильный ущерб нанесёт вам утечка.

Опубликованный или проданный набор личных данных может питать фишинг, попытки захвата аккаунтов и выдачу себя за другое лицо. Повторное использование паролей усугубляет это, потому что один утёкший учётный данные может открыть доступ к нескольким аккаунтам. Хорошая новость в том, что несколько привычек резко ограничивают последствия.

Практические шаги для частных лиц и небольших организаций

Для частных лиц:

  • Используйте уникальный пароль для каждого аккаунта, храня его в менеджере паролей.
  • Включите многофакторную аутентификацию везде, где она предлагается, начиная с электронной почты, банкинга и облачного хранилища.
  • Относитесь скептически к неожиданным сообщениям, ссылающимся на ваши реальные данные, поскольку утёкшие данные делают мошенничество более убедительным.
  • Если вас уведомили об утечке, немедленно смените затронутый пароль и все другие, которые с ним совпадали.
  • Делитесь только той личной информацией, которая действительно необходима сервису.

Для небольших организаций:

  • Поддерживайте надёжные резервные копии и храните хотя бы одну копию офлайн или отдельно от основной сети, чтобы злоумышленники не могли зашифровать и её.
  • Требуйте многофакторную аутентификацию для сотрудников, особенно для удалённого доступа и административных аккаунтов.
  • Собирайте и храните меньше конфиденциальных данных. Информация, которой у вас нет, не может быть украдена.
  • Подготовьте план действий на случай инцидента, который охватывает кражу данных, а не только восстановление систем, включая то, кого вы уведомите.

Ключевые выводы

Понимание двойного вымогательства с использованием программ-вымогателей простыми словами сводится к одной идее: шифрование — это видимая атака, а кража — это lasting-последствие. Резервные копии защищают вашу работу, но только предотвращение, такое как многофакторная аутентификация и ограничение объёма хранимых данных, снижает вероятность утечки.

Чтобы увидеть, что обычно происходит после похищения информации, прочитайте наше руководство что происходит с вашими данными после утечки и ознакомьтесь с отчётом об Uber Freight и Helix как недавним примером размещения на сайте утечек с целью вымогательства. Затем потратьте десять минут сегодня, чтобы включить многофакторную аутентификацию на ваших самых важных аккаунтах.