Vad är dubbel utpressning med lösensprogram?

Dubbel utpressning är en taktik där angripare inte bara krypterar offrets data utan också stjäl information och hotar att läcka den om deras krav inte uppfylls. Det lägger till ett andra hot ovanpå det traditionella krypteringskravet.

Varför räcker inte säkerhetskopior för att skydda mot dubbel utpressning?

Säkerhetskopior hanterar bara krypteringshotet genom att låta offer återställa verksamheten utan att betala för en dekrypteringsnyckel, men de gör ingenting åt stulna kopior av data. När information väl har exfiltrerats hämtar återställning av filer från en säkerhetskopia inte tillbaka datan från angriparens server.

Vilka åtgärder rekommenderar källan vid sidan av säkerhetskopior?

Källan kombinerar säkerhetskopior med andra åtgärder såsom multifaktorautentisering, eftersom att stoppa angripare från att ta sig in eller röra sig fritt när de väl är inne är det enda sättet att förhindra stöld från första början.

Dubbel utpressning med lösensprogram förklarat: Varför säkerhetskopior inte räcker

Q: Vad är RansomHouse?

RansomHouse är ett exempel på en läckagesida där utpressningsgrupper namnger offer och hotar att släppa eller faktiskt publicerar stulet material. Den citeras i kommentaren som en del av det aktuella hotlandskapet.

Q: Kan jag drabbas av dubbel utpressning även om jag inte är det direkta målet?

Ja. Om ett företag, en klinik, en skola eller en leverantör som innehar din information utsätts för intrång kan din data vara en del av det som stjäls, vilket innebär att du kan drabbas utan att någonsin vara målet.

Lösensprogram var tidigare ett enkelt, brutalt problem: angripare låste dina filer och krävde betalning för nyckeln. Idag är bilden mer komplicerad. Den här guiden erbjuder en genomgång av dubbel utpressning med lösensprogram förklarad för allmänheten, baserad på en nyligen publicerad japanskspråkig kommentar av Masaya Kinoshita som beskriver hur skador från lösensprogram blivit alltmer sofistikerade och allvarliga.

Kärnpoängen är att den dominerande taktiken nu är "dubbel utpressning". Angripare nöjer sig inte längre med att kryptera data. De stjäl också information och hotar att läcka den om deras krav inte uppfylls. Den förskjutningen förändrar vad försvar innebär, för organisationer och för de individer vars data dessa organisationer innehar.

Hur dubbel utpressning fungerar

I en klassisk attack med lösensprogram krypterar brottslingarna offrets filer och kräver pengar för dekryptering. Offrets huvudfråga är om de kan återställa sina system.

Dubbel utpressning lägger till en andra hävstång. Innan eller medan krypteringen sker kopierar angriparna känslig information ut ur offrets nätverk. De presenterar sedan två hot samtidigt:

Betala, annars förblir dina system låsta.
Betala, annars publiceras din stulna data.

Kommentaren beskriver detta som det dominerande tillvägagångssättet, inte som något exotiskt. Det andra hotet är det som gör taktiken så effektiv. Även ett offer med en perfekt återställningsplan står fortfarande inför utsikten att kundregister, anställdas uppgifter eller interna dokument blir offentliga.

Varför säkerhetskopior inte längre löser problemet på egen hand

Att säkerhetskopiera data är fortfarande avgörande. Källan betonar att säkerställa robusta säkerhetskopior som en av de specifika åtgärder organisationer bör vidta, eftersom bra säkerhetskopior låter ett offer återställa verksamheten utan att betala för en dekrypteringsnyckel.

Men säkerhetskopior svarar bara på krypteringshotet. De gör ingenting åt stulna kopior. Att återställa dina filer från en ren säkerhetskopia hämtar inte tillbaka din data från angriparens server. När information väl har exfiltrerats har offret förlorat kontrollen över vem som ser den, och brottslingarna vet det.

Det är därför källan kombinerar säkerhetskopior med andra åtgärder, såsom multifaktorautentisering. Att stoppa angripare från att ta sig in, eller från att röra sig fritt när de väl är inne, är det enda sättet att förhindra stöld från första början. Säkerhetskopior är ett återställningsverktyg, inte ett förebyggande verktyg.

Vad läckagesidor som RansomHouse innebär för din personliga data

Trycket bakom dubbel utpressning utövas ofta offentligt. Källan hänvisar till en sida som heter RansomHouse, ett exempel på de läckagesidor där utpressningsgrupper namnger offer och hotar att släppa eller faktiskt publicerar stulet material. Videon som diskuteras i kommentaren lyfter fram den här typen av sida som en del av det aktuella hotet.

För vanliga människor är den viktigaste poängen att du kan drabbas utan att någonsin vara målet. Om ett företag, en klinik, en skola eller en leverantör som innehar din information utsätts för intrång kan din data vara en del av det som stjäls. En listning på en läckagesida är ett tecken på att gruppen pressar organisationen, inte ett bevis på att påståendet är korrekt. Till exempel noterar vår rapportering om Everest ransomware-listning av Capgemini Engineering att sådana påståenden vanligtvis är overifierade när de dyker upp.

Ett nyligt exempel på detta mönster är Uber Freight-intrånget, där Helix-gruppen hävdade nästan 1 miljon filer efter att ha listat företaget på sin läckagesida på dark web. Företaget uppgav att man utredde en datasäkerhetsincident. Om du vill förstå vart stulen information tar vägen härnäst täcker vår förklaring om vad som händer med din data efter ett intrång kedjereaktionen som kan följa.

Vad detta innebär för dig

De flesta läsare driver inte ett företagsnätverk, men du är fortfarande en del av berättelsen om dubbel utpressning. Din data finns i andras system, och du kan inte kontrollera deras säkerhet. Det du kan kontrollera är hur mycket skada en läcka gör mot dig.

En publicerad eller såld uppsättning personuppgifter kan driva på nätfiske, försök till kontokapning och identitetsstöld. Återanvändning av lösenord gör detta värre, eftersom en läckt inloggningsuppgift kan låsa upp flera konton. Den goda nyheten är att en handfull vanor kraftigt begränsar följderna.

Praktiska steg för individer och små organisationer

För individer:

Använd ett unikt lösenord för varje konto, lagrat i en lösenordshanterare.
Aktivera multifaktorautentisering där det erbjuds, börja med e-post, bank och molnlagring.
Var skeptisk till oväntade meddelanden som refererar till dina riktiga uppgifter, eftersom läckt data gör bedrägerier mer övertygande.
Om du meddelas om ett intrång, ändra det berörda lösenordet omedelbart och alla andra som matchade det.
Dela bara den personliga information som en tjänst verkligen behöver.

För små organisationer:

Ha robusta säkerhetskopior, och lagra minst en kopia offline eller separerad från ditt huvudnätverk så att angripare inte kan kryptera den också.
Kräv multifaktorautentisering för personal, särskilt för fjärråtkomst och admin-konton.
Samla in och behåll mindre känslig data. Information du inte innehar kan inte stjälas.
Förbered en incidentplan som täcker datastöld, inte bara systemåterställning, inklusive vem du skulle meddela.

Viktiga slutsatser

Att förstå dubbel utpressning med lösensprogram förklarad i enkla ord kokar ner till en idé: kryptering är den synliga attacken, och stölden är den bestående. Säkerhetskopior skyddar din verksamhet, men bara förebyggande, såsom multifaktorautentisering och att begränsa vilken data som lagras, minskar risken för en läcka.

För att se vad som vanligtvis händer efter att information tagits, läs vår guide om vad som händer med din data efter ett intrång, och granska Uber Freight och Helix-rapporten som ett nyligt exempel på en utpressningslistning på en läckagesida. Ta sedan tio minuter idag för att aktivera multifaktorautentisering på dina viktigaste konton.