Что на самом деле показывают данные Proofpoint о программах-вымогателях в Индии

Новый отчёт компании Proofpoint рисует тревожную картину для организаций в Индии, сталкивающихся с программами-вымогателями. Данные показывают, что 62% пострадавших индийских компаний сообщили о более высоком общем ущербе от последней атаки — признак того, что эти инциденты становятся всё более разрушительными, а не наоборот, даже несмотря на рост осведомлённости и расходов на защиту. Пожалуй, самым примечательным является подтверждение того, что вымогательство на основе кражи данных стало в Индии нормой, а не исключением: кража данных была подтверждена в 71% изученных Proofpoint инцидентов.

Эта статистика меняет представление о том, что многие организации до сих пор воспринимают как проблему вымогательского ПО. Речь уже не только о зашифрованных файлах и требовании выкупа. В подавляющем большинстве рассмотренных случаев злоумышленники успевали похитить конфиденциальные данные до блокировки систем, получая дополнительный рычаг давления, даже если резервные копии жертвы надёжны и позволяют избежать уплаты за ключ расшифровки.

Почему уплата выкупа не останавливает повторное вымогательство

Несмотря на повсеместные рекомендации правоохранительных органов и специалистов по безопасности не платить выкуп, 64% пострадавших индийских организаций всё равно заплатили. Такое желание понятно: платёж кажется самым быстрым путём к восстановлению нормальной работы. Однако данные Proofpoint говорят о том, что этот инстинкт всё чаще приводит к ошибке. Почти половина заплативших — 48% — впоследствии столкнулась с новыми требованиями выкупа.

Эта модель характерна не только для Индии. Она повторяет глобальную картину, задокументированную Proofpoint, согласно которой плательщики выкупа часто снова подвергаются атакам, а платёж выступает скорее не решением проблемы, а сигналом для злоумышленников, что цель готова к переговорам. Другие исследования Proofpoint показали, что 22% плательщиков выкупа сталкиваются с повторным вымогательством, а некоторые данные свидетельствуют о том, что примерно каждый третий плательщик выкупа подвергается повторной атаке. Индийский показатель повторного вымогательства в 48% находится ближе к верхней границе этого диапазона, что говорит о том, что местные организации могут испытывать ещё более острую версию общемировой тенденции.

Уровень кражи данных в 71%: что злоумышленники забирают до шифрования

Причина, по которой повторное вымогательство так хорошо работает для атакующих, проста: как только данные украдены, шифрование почти не имеет значения. Если в 71% случаев уже подтверждена кража данных, то платёж за ключ расшифровки никак не решает проблему копии конфиденциальных файлов, осевшей в инфраструктуре злоумышленника. Эти данные можно продать, слить в открытый доступ или использовать для нового давления и второго, третьего требования, что объясняет, почему столь многие организации, заплатившие однажды, в итоге платили снова или сталкивались с новыми угрозами даже после урегулирования первого инцидента.

В этом и заключается коренное отличие современных вымогательских атак от атак прошлых лет, сводившихся только к блокировке файлов. Шифрование нарушает работу в краткосрочной перспективе, но кража данных создаёт долгосрочную ответственность, которую один платёж не способен устранить. Для организаций, работающих с данными клиентов, финансовой информацией или собственными бизнес-данными, угрозы не заканчиваются, когда системы снова запускаются.

Снижение уязвимости: сегментация сети, резервные копии и контроль доступа

Практический ответ на этот сдвиг должен выходить за рамки простого решения о том, платить или нет. Несколько конкретных шагов приобретают сегодня особое значение:

  • Сегментация сети ограничивает глубину продвижения злоумышленника внутри периметра, снижая вероятность того, что единственная скомпрометированная учётная запись приведёт к раскрытию данных всей организации.
  • Изолированные, проверенные резервные копии по-прежнему необходимы для восстановления после шифрования, но они не решают проблему кражи данных, поэтому их следует дополнять мониторингом аномальных исходящих передач данных.
  • Строгий контроль доступа и принцип минимальных привилегий сокращают объём конфиденциальных данных, к которым может получить доступ любая отдельная скомпрометированная учётная запись.
  • Планирование реагирования на инциденты должно исходить из предположения, что данные уже скопированы, а не только из возможности блокировки систем, и включать план коммуникации с клиентами и регуляторами в случае подтверждения утечки.

Организации, выстраивающие защиту вокруг этих принципов, исходят из того, что одних профилактических мер не всегда достаточно, и ограничение масштаба последствий вторжения не менее важно, чем само предотвращение проникновения.

Что это означает для вас

Если ваша организация работает в Индии или обрабатывает данные индийских клиентов и партнёров, этот отчёт — сигнал пересмотреть планы реагирования на инциденты, задавшись конкретным вопросом: что произойдёт после того, как мы обнаружим, что данные уже украдены, а не только после шифрования файлов? Рассматривать вымогательское ПО исключительно как проблему доступности, решаемую резервными копиями и возможной уплатой выкупа, больше не соответствует реальному сценарию этих атак. Модель вымогательства на основе кражи данных, описанная в данных Proofpoint для Индии, показывает, что момент шифрования — часто лишь один из этапов более продолжительной кампании.

Ключевые выводы

  • Исходите из того, что при любом инциденте с программами-вымогателями произошла кража данных; не ждите подтверждения, чтобы начать действовать согласно этому предположению.
  • Рассматривайте уплату выкупа как бизнес-решение с реальным риском повторного вымогательства, а не как гарантированное разрешение ситуации — эта закономерность согласуется с данными других исследований Proofpoint о повторном вымогательстве, проведённых на разных рынках.
  • Инвестируйте в сегментацию и контроль доступа уже сейчас, поскольку они ограничивают ущерб независимо от того, как злоумышленник проник в систему.
  • Разработайте план коммуникации на случай утечки данных параллельно с планом восстановления после атаки вымогателей, ведь эти два события всё чаще являются одним и тем же.

Как показывают более широкие отраслевые данные о выплатах выкупа, ситуация в Индии — не исключение. Это локальное отражение глобального сдвига в сторону многоэтапного вымогательства, и организации, которые подготовятся к нему сейчас, окажутся в гораздо лучшем положении, чем те, кто всё ещё надеется, что один платёж заставит проблему исчезнуть.