Ransomware med dubbel utpressning förklarad på ett enkelt sätt: angripare låser inte längre bara dina filer, de stjäl dina data först och använder dem som påtryckningsmedel. Enligt en nyligen publicerad rapport från HIPAA Journal går ransomwaregrupper nu ett steg längre och tar till verkliga hot för att pressa offer att uppfylla deras krav. För alla vars personuppgifter finns i en företagsdatabas spelar denna förändring roll.

Ransomware med dubbel utpressning förklarad: Hur taktikerna trappades upp

Berättelsen om ransomware är en berättelse om ständig anpassning. Till en början räckte det med att kryptera offrets filer för att tvinga fram en betalning. Om ett sjukhus, en skola eller ett företag inte kunde öppna sina egna data hade de en stark anledning att betala.

Sedan blev offren bättre på cyberresiliens. Många organisationer började göra säkerhetskopior och upptäckte att de kunde återställa krypterade filer utan att ge efter för angriparna. Enbart kryptering slutade vara en pålitlig inkomstkälla, så kriminella ändrade sin metod.

Nästa steg var datastöld. Ransomwaregrupper började kopiera känsliga filer från offrets nätverk innan de krypterade något. De hotade sedan med att sälja eller läcka den stulna informationen. Detta är modellen med dubbel utpressning: ett hot är de låsta systemen, det andra är exponeringen av data. En bra säkerhetskopia löser det första problemet men gör ingenting åt det andra.

Den senaste rapporten beskriver en ytterligare upptrappning, där grupper tar till verkliga hot som ett sätt att öka pressen. Det utdrag av artikeln som finns tillgängligt för oss beskriver inte varje taktik, så det är värt att läsa den ursprungliga rapporteringen för detaljer. Den övergripande riktningen är dock tydlig: varje gång försvarare stänger en väg letar angripare efter en ny källa till påtryckning.

Varför betalning av lösensumman inte skyddar dina data

Det är frestande att tro att om ett företag betalar försvinner problemet. I praktiken är det antagandet skakigt av en enkel anledning: när kriminella väl har kopierat dina data är du helt beroende av deras ord på att de raderar dem. Det är människor som redan har brutit mot lagen för att få dem.

Det finns också ett strukturellt problem. Datastöld innebär att informationen har lämnat byggnaden. Även om systemen återställs och en betalning görs kan organisationen inte självständigt verifiera vad som händer med kopiorna. För de individer vars namn, adresser, hälsouppgifter eller ekonomiska uppgifter fanns i dessa data beror risken inte på om företaget förhandlade.

Det är därför taktiken är så effektiv. Säkerhetskopior löste krypteringsproblemet, men de kan inte ogöra en stöld av data. Utpressning byggd på exponering fortsätter att fungera eftersom skadan för människor är verklig oavsett om en lösensumma betalas eller inte.

Vad verkliga hot innebär för vanliga människor

De flesta människor förhandlar aldrig med en ransomwaregrupp. De är vanligtvis de vars data hålls som gisslan. När kriminella lägger till press utanför den digitala sfären är de mest drabbade ofta kunder, patienter och anställda vars uppgifter finns i de stulna filerna.

Det har några praktiska konsekvenser:

  • Säkerheten för dina data beror på någon annans säkerhet. Du kan inte lappa en företags servrar, men du kan bestämma hur mycket av din information de har.
  • Påståenden är inte alltid bekräftade intrång. Gäng offentliggör ofta sina attacker för att utöva press. Till exempel hävdade en grupp offentligt ett intrång hos Marlborough Partners, men det fanns inga bekräftade bevis bakom påståendet vid tiden för vår bevakning av Anubis ransomware-påstående. På samma sätt sade Kingston Technology att de utredde efter att Everest-gruppen framfört påståenden, vilket vi rapporterade om i vår rapport om Kingston Technology-utredningen.
  • Utpressning är inte begränsad till en sektor. Vår sammanställning av Stadler Rail-utpressningen och de ryska Zimbra-spionagestörningarna är ännu en påminnelse om att dessa presskampanjer dyker upp i alla branscher.

Det gemensamma draget är att du ofta får reda på ett problem i efterhand, genom ett meddelande eller en nyhetsartikel. Vid det laget är data redan utom din kontroll.

Hur du minskar din exponering före ett intrång

Du kan inte stoppa ett ransomwaregäng från att rikta in sig på ett företag du gör affärer med, men du kan begränsa skadan om det händer. Dessa steg fokuserar på det som ligger inom din kontroll.

  1. Dela mindre. Ge tjänster bara den information de verkligen behöver. Om ett formulär frågar efter födelsedatum, telefonnummer eller ID som inte är nödvändigt, överväg att utelämna det eller ange det minsta som krävs. Data som aldrig samlades in kan inte stjälas.
  2. Radera det du inte längre använder. Stäng gamla konton och begär radering där det är möjligt. Vilande konton är fortfarande data som ligger på någons server.
  3. Ha offline-säkerhetskopior av dina egna filer. Säkerhetskopior stoppar inte datastöld, men de skyddar dig mot det ursprungliga ransomwareproblemet på dina egna enheter. Ha minst en kopia frånkopplad från ditt nätverk.
  4. Använd unika lösenord och multifaktorautentisering. Om ett intrång exponerar inloggningsuppgifter förhindrar unika lösenord att en läcka låser upp dina andra konton.
  5. Håll utkik efter intrångsmeddelanden. Läs brev och e-post från företag noggrant, och var försiktig med oväntade meddelanden som refererar till dina personuppgifter, eftersom stulna data kan driva övertygande bedrägerier.
  6. Var skeptisk till hot. Om du får ett meddelande som hävdar att dina data har stulits och kräver betalning, verifiera via officiella kanaler innan du svarar. Klicka inte på länkar eller ring nummer i själva meddelandet.

Vad detta innebär för dig

Den viktigaste lärdomen är att betalning av en lösensumma inte är en integritetsstrategi, och det är inte heller att hoppas på att ett företag har bra säkerhetskopior. Dubbel utpressning flyttade risken från låsta system till exponerade data, och rörelsen mot verkliga hot visar att kriminella kommer att fortsätta leta efter nya sätt att utöva press. Ditt bästa försvar är att minska hur mycket känslig information som finns om dig i andras system, och att vara redo att agera snabbt om du meddelas om ett intrång.

Slutsatser

Att förstå ransomware med dubbel utpressning förklarad i enkla ordalag hjälper dig att se varför dessa attacker fortsätter att lyckas: hotet handlar inte längre bara om driftstopp, det handlar om exponering. Begränsa de personuppgifter du lämnar ut, behåll offline-säkerhetskopior av det som är viktigt för dig och var uppmärksam på intrångsmeddelanden. För att se hur dessa taktiker spelar ut i praktiken, följ vår pågående bevakning av aktuella ransomware-påståenden, med början i Anubis- och Everest-artiklarna som länkas ovan.