Сообщается, что число атак программ-вымогателей выросло почти на 50%, и малый бизнес несёт основной ущерб. Что делает ситуацию сложнее — это смена тактики. Случаи кражи данных с последующим вымогательством в малом бизнесе всё чаще involveit атакующих, которые не блокируют ни одного файла. Они крадут данные, а затем угрожают опубликовать или продать их, если им не заплатят.

В исходной статье приводится ссылка на NordLayer при описании этого сдвига: всё больше вымогательских группировок пропускают шифрование и просто крадут данные, а затем угрожают жертве. Полный текст, доступный нам, краток, поэтому в этом посте мы придерживаемся этих тезисов и широко известной практики безопасности, а не добавляем цифры, которые не можем проверить.

Почему резервные копии больше не останавливают вымогательство

Классическая атака программы-вымогателя блокировала ваши файлы и продавала вам ключ. Хорошие резервные копии были ответом: восстановите системы и двигайтесь дальше. Этот совет по-прежнему важен, но он решает лишь половину современной проблемы.

Когда злоумышленники крадут данные вместо их шифрования, на вашей стороне ничего не сломано. Ваши системы могут работать нормально. Рычаг давления — это то, чем теперь владеют преступники: записи клиентов, информация о сотрудниках, контракты, финансовые данные. Восстановление из резервной копии никак не помогает вырвать эту копию из их рук.

Именно поэтому записка о выкупе в таких случаях строится вокруг разглашения, а не простоя. Угроза в том, что ваши клиенты, партнёры или регуляторы узнают, что было украдено. Резервные копии защищают доступность. Они не защищают конфиденциальность.

Почему основной удар принимает на себя малый бизнес

В статье говорится, что малый бизнес принимает на себя большую часть прироста. Хотя мы не можем самостоятельно разобрать причины из исходного текста, несколько общих факторов хорошо известны в кругах специалистов по безопасности:

  • Меньше выделенного персонала по безопасности. Многие малые компании полагаются на одного универсального ИТ-специалиста или внешнего провайдера.
  • Плоские сети и общий доступ. В небольших средах одна скомпрометированная учётная запись часто может получить доступ ко множеству данных.
  • Давление необходимости платить быстро. Завод, который не может работать, или клиника, которая боится утечки, могут чувствовать, что не могут позволить себе долгое восстановление.

Кража данных с вымогательством также снижает усилия атакующих. Пропуск шифрования означает меньше шагов и меньше шума, что может затруднить обнаружение вторжения до того, как поступит требование.

Защита, ограничивающая то, что могут украсть злоумышленники

Если цель — сократить то, что можно украсть, оборонительный фокус смещается с одного лишь восстановления на контроль над данными. Практические шаги включают:

  1. Знайте, что вы храните. Составьте опись данных клиентов, сотрудников и финансовых данных и удаляйте то, что больше не нужно. Данные, которыми вы не владеете, не могут быть утёкшими.
  2. Ограничьте доступ. Давайте каждому человеку доступ только к тому, что требуется для его работы, и удаляйте учётные записи при уходе людей.
  3. Используйте многофакторную аутентификацию. Украденные пароли — распространённый способ проникновения, и второй фактор поднимает планку.
  4. Сегментируйте свою сеть. Держите чувствительные системы отдельно, чтобы одна брешь не обнажила всё.
  5. Шифруйте чувствительные данные при хранении. Украденные файлы, которые должным образом зашифрованы, гораздо менее полезны для вора.
  6. Следите за необычными передачами. Большое или странное исходящее движение данных может быть ранним сигналом тревоги.
  7. Всё равно держите проверенные офлайн-резервные копии. Атаки с шифрованием не исчезли, и группировки могут сочетать оба метода.
  8. Подготовьте план реагирования на инциденты. Заранее решите, кому звонить, включая юрисконсульта и вашего ИТ-провайдера, до того как начнётся давление.

Чтобы увидеть, как крупная операция с программами-вымогателями движется от входа к вымогательству, анализ LockBit 3.0, охватывающий 2 000 жертв в 95 странах описывает полную цепочку атаки и показывает, где защитники могут её прервать.

Где VPN уместен, а где нет

VPN может быть полезной частью оснастки малого бизнеса, но это не лекарство от программ-вымогателей. Его основная ценность — защита трафика между удалёнными сотрудниками и корпоративными ресурсами, особенно в публичных или недоверенных сетях, и ограничение того, насколько внутренние сервисы открыты в интернет.

Чего VPN не делает — так это не останавливает фишинг, не исправляет непатченное программное обеспечение и не мешает сотруднику с действительными учётными данными быть обманом вынужденным их передать. Если злоумышленник входит с украденными учётными данными, VPN может даже дать ему удобный путь внутрь. Он также не шифрует файлы, лежащие на ваших серверах, и не следит за данными, покидающими вашу сеть.

Думайте о VPN как об одном слое среди нескольких. Он лучше всего работает вместе с сильной аутентификацией, патчингом, контролем доступа и мониторингом.

Что это значит для вас

Если вы руководите малым бизнесом или работаете в нём, исходите из того, что наличия резервных копий больше недостаточно. Вопрос, который нужно задать, — не только «Сможем ли мы восстановиться?», но и «Что кто-то мог бы украсть, и что случилось бы, если бы они это опубликовали?»

Небольшим командам не нужны корпоративные бюджеты, чтобы улучшить своё положение. Сокращение объёма хранимых чувствительных данных, ужесточение того, кто может к ним получить доступ, и включение многофакторной аутентификации воздействуют именно на тот рычаг, который дёргают вымогательские группировки. Относитесь к любому VPN как к вспомогательному инструменту, а не как к самому плану.

Ключевые выводы

  • Сообщается, что число атак программ-вымогателей выросло почти на 50%, причём сильнее всего пострадал малый бизнес.
  • Всё больше группировок крадут данные, не шифруя их, поэтому одних резервных копий недостаточно для удовлетворения требования о выкупе.
  • Ограничивайте экспозицию, минимизируя хранимые данные, ограничивая доступ и шифруя то, что остаётся.
  • Используйте VPN как один слой защиты, а не как замену остальному.

На этой неделе проведите аудит того, какие данные хранит ваш бизнес и кто может к ним получить доступ. Затем прочитайте, как действует крупная группировка, в нашем разборе программ-вымогателей LockBit 3.0, чтобы увидеть, как эти атаки разворачиваются на практике и где ваша защита малого бизнеса от кражи данных с вымогательством должна быть сильнейшей.