En gemensam varning från FBI, CISA och EU-myndigheter har satt ransomware-gruppen SafePay i rampljuset, där USA, Storbritannien och Tyskland namnges som mål för gruppens globala kampanj. Den viktigaste detaljen för vanliga användare och småföretag: angriparna går efter säkerhetskopior. Det gör SafePay-ransomware-skydd av säkerhetskopior till en större fråga än att bara ha en andra kopia av sina filer.

Källartikeln är kort, så det här inlägget fokuserar på vad varningen signalerar och på praktiska åtgärder du kan vidta. Där vi beskriver typiskt angriparbeteende återspeglar det allmän offentlig rapportering om SafePay och vanlig ransomware-praxis.

Vad SafePay-ransomware gör och vilka som är mål

SafePay är en ransomware-grupp, vilket innebär att de bryter sig in i nätverk, låser data och kräver betalning för att återställa åtkomst. Offentliga hotrapporter beskriver det som en dubbel utpressningsoperation: angriparna kopierar data från offrets system innan de krypterar det och kräver sedan betalning i kryptovaluta. Hotet handlar både om att förlora åtkomst och om att känsliga filer läcker ut.

Den gemensamma varningen beskriver en global kampanj, och de inblandade myndigheterna finns i USA, Storbritannien och Tyskland. Ransomware-grupper begränsar sig sällan till stora företag. Småföretag, kliniker, skolor och lokala kontor har ofta värdefulla data men svagare försvar, vilket gör dem attraktiva. Individer med nätverkslagringsenheter hemma eller på ett hemmakontor kan också vara exponerade.

Offentlig rapportering om SafePay säger att dess operatörer vanligtvis tar sig in genom att stjäla eller gissa lösenord och genom att utnyttja sårbarheter i säkerhetssystem. Inget av detta är exotiskt, och det är därför grunderna spelar så stor roll.

Varför angriparna går efter säkerhetskopior först

Säkerhetskopior är skyddsnätet. Om ett offer kan återställa från en ren kopia förlorar lösenskravet det mesta av sin hävstång. Så angripare som förstår detta försöker ta bort nätet innan de trycker på avtryckaren. Att först radera, kryptera eller förstöra säkerhetskopior innebär att återställningsalternativen redan är borta när lösensmeddelandet dyker upp.

Det här är skiftet värt att ta till sig. Många tänker på en säkerhetskopia som något som bara finns. I praktiken kan en säkerhetskopia som är nåbar från ditt huvudnätverk, med samma inloggningsuppgifter, hittas och förstöras av alla som får den åtkomsten. En kopia som ligger på en enhet som ständigt är inkopplad i datorn, eller en molnmapp som synkroniseras automatiskt, kan krypteras tillsammans med allt annat.

Hur man skyddar säkerhetskopior: offlinekopior, immutabilitet och kryptering

Gott SafePay-ransomware-skydd av säkerhetskopior börjar med att anta att en angripare så småningom får åtkomst till dina huvudsystem och sedan se till att dina säkerhetskopior överlever det scenariot. Tre idéer hjälper:

  • Behåll en offline- eller isolerad kopia. En extern enhet som kopplas bort efter varje säkerhetskopiering kan inte krypteras på distans. För företag innebär detta kopior som inte är kontinuerligt nåbara från produktionsnätverket.
  • Använd immutabla säkerhetskopior. Immutabilitet innebär att en säkerhetskopia inte kan ändras eller raderas under en bestämd period, inte ens av ett administratörskonto. Många säkerhetskopieringsverktyg och molnlagringstjänster erbjuder detta som en inställning. Om en angripare stjäl administratörsuppgifter förblir de låsta kopiorna intakta.
  • Kryptera dina säkerhetskopior. Kryptering stoppar inte en angripare från att radera data, men det skyddar innehållet om en kopia stjäls. Det spelar roll i ett fall av dubbel utpressning, där läckta data är en del av påtryckningen.

Två stödjande vanor är lika viktiga. Använd separata inloggningsuppgifter för säkerhetskopieringssystem, helst skyddade med multifaktorautentisering, så att ett stulet vardagslösenord inte låser upp dem. Och testa återställningar regelbundet. En säkerhetskopia du aldrig har återställt är en antagande, inte en plan.

Grundläggande försvar som stoppar det initiala intrånget

Att skydda säkerhetskopior är den sista försvarslinjen. Det bättre resultatet är att hålla angriparna ute. Eftersom rapporteringen pekar på stulna eller gissade lösenord och utnyttjade sårbarheter är de mest användbara försvaren de oglamorösa:

  • Aktivera multifaktorautentisering på e-post, fjärråtkomst, molnkonton och säkerhetskopieringskonsoler.
  • Använd starka, unika lösenord som lagras i en lösenordshanterare, så att en läckt inloggningsuppgift inte öppnar flera dörrar.
  • Lappa omedelbart, särskilt internetsvända system som brandväggar, fjärråtkomstverktyg och säkerhetskopieringsprogram. Ouppdaterade kända brister är en vanlig väg in.
  • Begränsa fjärråtkomst. Stäng av tjänster du inte använder och begränsa vem som kan nå resten.

Ett VPN kan hjälpa till att säkra fjärranslutningar till ett arbetsnätverk, men det ersätter inte lappning och MFA, och det skyddar inte säkerhetskopior på egen hand.

Vad detta innebär för dig

Den internationella karaktären hos denna varning är värd att notera. Regeringar som samarbetar över gränser kring cyberhot är inte nytt; allianser som Five Eyes och det bredare Fourteen Eyes är kända för underrättelsedelning, även om dessa arrangemang rör övervakningsdata och är en separat fråga från denna ransomware-varning. Slutsatsen för läsare är enklare: när flera myndigheter utfärdar en gemensam varning är hotet brett och inte begränsat till en region eller bransch.

För individer innebär det att kontrollera om dina säkerhetskopior verkligen är separerade från din dator. För småföretag innebär det att fråga vem som kan radera dina säkerhetskopior, och om det kontot är skyddat av MFA.

Praktiska slutsatser

SafePay-ransomware-skydd av säkerhetskopior kokar ner till en kort granskning du kan genomföra den här veckan:

  1. Kontrollera din säkerhetskopieringsuppsättning. Har du minst en kopia som är offline eller immutabel?
  2. Separera inloggningsuppgifterna. Se till att åtkomst till säkerhetskopior använder andra inloggningar än dagliga konton.
  3. Aktivera MFA överallt där det erbjuds, med början i e-post, fjärråtkomst och säkerhetskopieringsverktyg.
  4. Installera väntande uppdateringar, med prioritering på brandväggar, fjärråttprogramvara och säkerhetskopieringsprogram.
  5. Testa en återställning av några filer för att bekräfta att säkerhetskopiorna faktiskt fungerar.

Inget av dessa steg är komplicerat, och tillsammans tar de bort den hävstång som ransomware-grupper är beroende av. Börja med granskningen idag.