Что исследование Proofpoint показало о повторных атаках
Новое исследование компании Proofpoint в области кибербезопасности дает отрезвляющую проверку реальности для организаций, которые рассматривают выплату выкупа как быстрое решение проблемы. Согласно данным, более трети компаний, заплативших выкуп, позже столкнулись со вторичной попыткой вымогательства. Иными словами, подписание чека не закрывает инцидент; для значительной части жертв это просто открывает новую главу.
Этот вывод важен, поскольку он опровергает распространенное в залах заседаний во время кризиса предположение: что заплатить злоумышленникам — самый быстрый способ заставить проблему исчезнуть. Данные Proofpoint говорят об обратном. Как только компания демонстрирует готовность платить, она может стать повторной мишенью либо для первоначального злоумышленника, либо для другой группы, узнавшей, что организация легко поддается давлению.
Почему выплата выкупа не гарантирует безопасность данных
Главная проблема, отмеченная Proofpoint, заключается в том, что переговоры о выкупе строятся на доверии к преступникам, у которых нет никаких обязательств соблюдать свою часть сделки. Плата за разблокировку зашифрованных файлов не гарантирует, что украденные данные не были скопированы в другое место, и не мешает злоумышленникам перепродавать доступ, сетевые карты или похищенные файлы другим преступным группам.
Именно этот механизм стоит за циклом повторного вымогательства, описанным в исследовании. Современные операции с программами-вымогателями все чаще используют двойное вымогательство, шифруя системы и одновременно похищая конфиденциальные данные перед требованием оплаты. Даже если ключ дешифрования предоставлен, как обещано, сами украденные данные остаются источником риска. Их можно использовать для повторного шантажа, продать на преступных рынках или использовать другой злоумышленник, купивший доступ у первоначального атакующего. Выплата решает проблему немедленного простоя, но никак не устраняет продолжающуюся незащищенность данных организации.
Растущая угроза для малого и среднего бизнеса
Хотя крупные предприятия исторически доминировали в заголовках новостей о вымогательском ПО, малый и средний бизнес все чаще оказывается под прицелом, часто потому, что у них меньше ресурсов для инвестиций в обнаружение, реагирование и восстановление. Эти организации могут быть особенно уязвимы к схеме повторного вымогательства, описанной Proofpoint, поскольку единственная успешная выплата может пометить их как готовых и способных платить снова.
Эта динамика уже реализуется в операциях «вымогательское ПО как услуга», специально нацеленных на небольшие организации. Как подробно описано в материале о бандах вымогателей Qilin и The Gentlemen, усиливающих атаки на МСП, эти группы конкурируют за доминирование, фокусируясь на бизнесе, которому может не хватать опыта переговоров, юридической поддержки или инфраструктуры реагирования на инциденты, доступных крупным компаниям. Когда небольшая компания платит один раз, у нее может не быть ресурсов принципиально изменить свою защищенность впоследствии, оставляя те же уязвимости открытыми для следующей попытки.
Снижение риска: резервное копирование, шифрование и планирование реагирования
Выводы Proofpoint подкрепляют мысль, которую специалисты по безопасности повторяют годами: предотвращение и подготовка важнее переговоров. Несколько практических шагов могут значительно снизить как вероятность атаки, так и ущерб, если она произойдет.
Во-первых, поддерживайте офлайн или неизменяемые резервные копии, которые регулярно тестируются. Выплата выкупа часто становится единственным вариантом, когда резервные копии отсутствуют, устарели или сами зашифрованы во время атаки. Во-вторых, шифруйте конфиденциальные данные в состоянии покоя и при передаче, чтобы даже если злоумышленники похитят файлы, украденная информация имела ограниченную ценность. В-третьих, разработайте план реагирования на инциденты до атаки, а не во время нее. Такой план должен включать четкие роли, протоколы связи и заранее проверенные юридические и криминалистические контакты, чтобы решения не принимались в панике и под давлением времени.
Организациям также следует исходить из того, что любые данные, затронутые вторжением, могут в конечном итоге всплыть публично или быть перепроданы, независимо от того, был ли выплачен выкуп. Планирование такой возможности — через процедуры уведомления клиентов, предложения по мониторингу кредитов и юридическую проверку — гораздо надежнее, чем надежда на то, что преступная группа удалит украденные файлы после оплаты.
Что это значит для вас
Если ваша организация когда-либо столкнется с требованием выкупа, исследование Proofpoint предполагает, что решение заплатить не следует рассматривать как гарантированное разрешение ситуации. Риск повторного вымогательства после выплаты реален и задокументирован: оплата может пометить вас как мишень, а не закрыть инцидент. Независимо от того, управляете ли вы малым бизнесом или безопасностью крупной компании, самое безопасное предположение состоит в том, что любое событие с вымогательским ПО может не быть разовым, если вы не устраните коренные причины, позволившие вторгнуться изначально.
Ключевые выводы
- Не думайте, что выплата завершает угрозу. Proofpoint установила, что более трети заплативших жертв сталкиваются с повторной попыткой вымогательства.
- Отдавайте приоритет неизменяемым, протестированным резервным копиям, чтобы оплата никогда не была единственным путем к восстановлению.
- Шифруйте конфиденциальные данные, чтобы ограничить ущерб от утечки, даже если системы скомпрометированы.
- Разработайте и отрепетируйте план реагирования на инциденты до атаки, а не во время нее.
- Признайте, что малый бизнес все чаще становится мишенью таких групп, как Qilin и The Gentlemen, что делает проактивную защиту необходимой независимо от размера компании.
