Vad Proofpoints Indien-data om ransomware faktiskt visar

En ny rapport från säkerhetsföretaget Proofpoint tecknar en oroande bild för organisationer i Indien som hanterar ransomware. Siffrorna visar att 62 % av de drabbade indiska företagen rapporterade en högre total påverkan från sin senaste attack, ett tecken på att dessa incidenter blir mer skadliga, inte mindre, även när medvetenheten och försvarsutgifterna ökar. Mest anmärkningsvärt är kanske bekräftelsen på att utpressning genom datastöld vid ransomware i Indien har blivit normen snarare än undantaget: datastöld bekräftades i 71 % av de incidenter som Proofpoint granskade.

Den statistiken omformulerar vad många organisationer fortfarande betraktar som ett ransomware-problem. Det handlar inte längre bara om krypterade filer och en lösensumma. I den överväldigande majoriteten av de studerade fallen hade angriparna redan exfiltrerat känslig data innan de låste systemen, vilket gav dem en andra påtryckningspunkt även om offrets säkerhetskopior är tillräckligt robusta för att undvika att betala för en dekrypteringsnyckel.

Varför betalning av lösensumman inte stoppar upprepad utpressning

Trots omfattande vägledning från brottsbekämpande myndigheter och säkerhetsexperter mot att betala ransomware-krav, betalade 64 % av de drabbade indiska organisationerna ändå. Impulsen är förståelig: en betalning känns som den snabbaste vägen tillbaka till normal verksamhet. Men Proofpoints resultat tyder på att den impulsen i allt högre grad är missriktad. Nästan hälften av dem som betalade, 48 %, mötte ytterligare utpressningskrav efteråt.

Detta mönster är inte unikt för Indien. Det speglar vad Proofpoint har dokumenterat globalt, där betalare av lösensummor ofta drabbas igen och en betalning fungerar mindre som en lösning och mer som en signal till angriparna om att ett mål är villigt att förhandla. Separat forskning från Proofpoint har funnit att 22 % av lösensumme-betalare möter upprepad utpressning, medan annan data pekar på att ungefär 1 av 3 ransomware-betalare drabbas igen. Indiens siffra på 48 % för upprepad utpressning ligger i den högre änden av det intervallet, vilket tyder på att organisationer där kan stå inför en ännu brantare version av samma globala trend.

Datastöldsgraden på 71 %: Vad angriparna tar innan de krypterar

Anledningen till att upprepad utpressning fungerar så väl för angriparna är enkel: när data väl har stulits är krypteringen nästan irrelevant. Om 71 % av incidenterna redan involverar bekräftad datastöld, gör en betalning för en dekrypteringsnyckel ingenting för att hantera den kopia av känsliga filer som finns på angriparens infrastruktur. Den datan kan säljas, läckas eller användas som ny påtryckning för ett andra eller tredje krav, vilket hjälper till att förklara varför så många organisationer som betalade en gång slutade med att betala igen, eller mötte nya hot även efter att ha reglerat det första.

Detta är den grundläggande förskjutning som skiljer modern ransomware från tidigare års fillåsningsattacker. Kryptering stör verksamheten på kort sikt, men datastöld skapar en långsiktig skuld som en enskild betalning inte kan lösa. För organisationer som hanterar kundregister, finansiell information eller proprietära affärsdata upphör exponeringen inte när systemen kommer tillbaka online.

Minska exponeringen: Nätverkssegmentering, säkerhetskopior och åtkomstkontroller

Det praktiska svaret på denna förskjutning måste gå bortom att bara besluta huruvida man ska betala. Några konkreta åtgärder är viktigare än någonsin:

  • Nätverkssegmentering begränsar hur långt en angripare kan röra sig när de väl är inne, vilket minskar risken för att ett enda komprometterat konto leder till organisationstäckande dataexponering.
  • Offline-, testade säkerhetskopior förblir avgörande för återställning efter kryptering, men de hanterar inte datastöld, så de bör kompletteras med övervakning av ovanliga utgående dataöverföringar.
  • Strikta åtkomstkontroller och minsta-behörighet-principen minskar volymen av känslig data som en enskild komprometterad autentiseringsuppgift kan nå.
  • Incidenthanteringsplanering bör utgå från att data redan har kopierats, inte bara att system kan bli låsta, och bör inkludera en kommunikationsplan för kunder och tillsynsmyndigheter om dataexponering bekräftas.

Organisationer som bygger försvar kring dessa principer arbetar utifrån antagandet att enbart förebyggande inte alltid kommer att lyckas, och att begränsningen av en intrångs sprängradie är lika viktig som att hålla angriparna ute från första början.

Vad detta betyder för dig

Om din organisation verkar i Indien eller hanterar data kopplad till indiska kunder eller partners, är denna rapport en signal att se över incidenthanteringsplaner med en specifik fråga i åtanke: vad händer efter att vi upptäcker att data redan har stulits, inte bara efter att filer har krypterats? Att behandla ransomware enbart som ett tillgänglighetsproblem, lösbart genom säkerhetskopior och en eventuell betalning, matchar inte längre hur dessa attacker faktiskt utvecklas. Det mönster av utpressning genom datastöld vid ransomware i Indien som beskrivs i Proofpoints data visar att krypteringsögonblicket ofta bara är ett steg i en längre kampanj.

Viktiga slutsatser

  • Utgå från att datastöld har inträffat vid varje ransomware-incident; vänta inte på bekräftelse innan du agerar på det antagandet.
  • Behandla en lösensumme-betalning som ett affärsbeslut med verklig risk för upprepad utpressning, inte som en garanterad lösning – ett mönster som stämmer överens med vad annan Proofpoint-forskning om upprepad utpressning har dokumenterat över marknader.
  • Investera i segmentering och åtkomstkontroller nu, eftersom de begränsar skadan oavsett hur en angripare tar sig in.
  • Bygg en kommunikationsplan för dataintrång vid sidan av din återställningsplan för ransomware, eftersom de två i allt högre grad är samma händelse.

I takt med att bredare branschdata om ransomware-betalningar fortsätter att visa, är Indiens erfarenhet inte något avvikande. Det är en lokal återspegling av en global förskjutning mot flerstegsutpressning, och organisationer som planerar för det nu kommer att vara mycket bättre rustade än de som fortfarande hoppas att en enskild betalning ska få problemet att försvinna.