En mexikansk budfirma upplevde en av de värsta mardrömmarna för alla små eller medelstora företag: att tillbringa tre månader med angripare gömda i sitt nätverk innan de insåg att något var fel. När de slutligen märkte det var det för sent. Cyberbrottslingarna hade stulit känslig information och krypterat upp till sex servrar med hjälp av BitLocker, det krypteringsverktyg som Windows har inbyggt. Företaget betalade mindre än 5 000 dollar för att återfå åtkomsten, men det visade sig vara bara början på ett mycket större problem: de tvingades bygga upp hela sin digitala infrastruktur från grunden eftersom de inte längre kunde lita på något system som angriparna hade rört vid.

Tre osynliga månader: den verkliga kostnaden för uppehållstiden

Det mest avslöjande i det här fallet är inte själva krypteringen, utan tiden som angriparna fanns kvar oupptäckta. Tre månader räcker för att kartlägga ett helt företagsnätverk, identifiera var de mest värdefulla uppgifterna finns, stjäla kopior av informationen och först därefter genomföra krypteringen. Det här mönstret, som kallas dubbel utpressning, har blivit standard bland ransomware-grupper: först för de ut data för att ha en andra påtryckningskanal (hotet att offentliggöra dem) och sedan låser de systemen för att tvinga fram betalning.

Användningen av BitLocker i det här angreppet är särskilt anmärkningsvärd. I stället för att använda skräddarsydd krypteringsskadlig kod, som kan upptäckas av antivirus eller andra säkerhetslösningar, utnyttjade angriparna ett legitimt verktyg som redan fanns installerat på offrets egna servrar. Den här taktiken, som kallas ”living off the land” (leva av det som finns), blir allt vanligare eftersom den minskar risken för att säkerhetsprogramvaran flaggar aktiviteten som misstänkt. För ett småföretag med begränsade övervakningsresurser innebär det att varningssignalerna kan passera helt obemärkt.

Att betala lösensumman löser inte det underliggande problemet

En av de viktigaste lärdomarna från det här fallet är att en betald lösensumma, även en relativt låg summa som mindre än 5 000 dollar, inte tar bort den verkliga skadan. Företaget fick dekrypteringsnycklarna, men det gav dem inte tillbaka förtroendet för den egna infrastrukturen. När en angripare har haft långvarig tillgång till ett nätverk kan alla system, inloggningsuppgifter och konfigurationer ha äventyrats eller ändrats. Därför är en fullständig återuppbyggnad, även om den är kostsam och störande, ofta det enda ansvarsfulla alternativet.

Detta har direkta konsekvenser för integriteten. Om angriparna stal information innan de krypterade servrarna är dessa data (som kan omfatta kund-, personal- eller affärspartnerinformation) redan utom företagets kontroll, oavsett om lösensumman betalades eller inte. Det är samma typ av dataexponering som har drivit på bredare farhågor kring övervakning och hantering av personuppgifter, ett tema som också löper genom regulatoriska debatter som den om Chat Control i Europeiska unionen, där man diskuterar vem som får tillgång till privata kommunikationer och under vilka villkor. Lärdomen är densamma i båda scenarierna: när data väl har lämnat säkra händer är det praktiskt taget omöjligt att garantera att de inte kommer att missbrukas.

Vad detta betyder för dig

Om du driver ett små- eller medelstort företag eller arbetar i ett litet IT-team bör det här fallet fungera som en konkret varning, inte som en avlägsen historia. Små och medelstora företag är attraktiva måltavlor just för att de oftast har färre försvarslager än stora koncerner, samtidigt som de hanterar lika värdefull information: ekonomiska data, kunduppgifter och inloggningsuppgifter till molnsystem.

Några praktiska åtgärder som minskar risken för att ditt företag hamnar i en liknande situation är: att ha säkerhetskopior som verkligen är isolerade från huvudnätverket (offline eller i oföränderlig lagring), att regelbundet se över och begränsa vem som har administrativa privilegier, samt att övervaka användningen av legitima operativsystemsverktyg som skulle kunna missbrukas, precis som BitLocker i det här fallet. Det är också värt att se över hur den interna och fjärranslutna nätverkstrafiken skyddas, särskilt om personal ansluter från platser utanför kontoret; i sådana fall kan förståelse för vilka skyddsverktyg som finns i din region, vilket beskrivs i den här guiden om den bästa VPN för El Salvador, hjälpa dig att utvärdera liknande alternativ som gäller för Mexiko och andra länder i regionen.

Dessutom är det bra att komma ihåg att datastöld under en ransomware-attack inte är en isolerad händelse: den stulna informationen kan hamna i omlopp eller användas för andra syften, en risk som hänger ihop med bredare farhågor kring spårning och användning av personuppgifter, vilket har dokumenterats i fall där myndigheter har spårat enheter med hjälp av annonsdata i stor skala.

Slutsats

Den här ransomware-attacken mot ett mexikanskt småföretag bekräftar något som många cybersäkerhetsexperter har upprepat i åratal: att betala lösensumman är sällan slutet på historien. Tre månader av obehörig åtkomst, datastöld och behovet av att bygga upp hela infrastrukturen från grunden visar att förebyggande och tidig upptäckt är värt mycket mer än någon efterföljande förhandling med angriparna. Om ditt företag fortfarande saknar en tydlig plan för säkerhetskopiering, övervakning och incidenthantering är det här ett bra tillfälle att se över den – innan du blir nästa statistik.