Yeni Fidye Ödeme Verilerinin Gösterdikleri

Güvenlik firması Proofpoint'in Çarşamba günü yayımladığı yeni bir rapor, bir fidye yazılımı çetesine sorunu ortadan kaldırması için ödeme yapmayı düşünen herkes için rahatsız edici bir doğrulama sunuyor: ödeme yapan mağdurların önemli bir kısmı ikinci bir şantaj talebiyle karşı karşıya kalıyor. Rapor, güvenlik araştırmacılarının ve olay müdahale ekiplerinin yıllardır savunduğu bir şeyi pekiştiriyor: fidye yazılımı müzakereleri iyi niyetle yürütülmüyor ve ödeme yapmak, saldırganın gerçekten çekip gideceğini garanti etmiyor.

Proofpoint'in verileri, savunucuların uzun süredir anekdotlara dayanarak şüphelendiği bir örüntüye somut rakamlar ekliyor. Fidye talebine uyan kuruluşlar bir kapanış satın almıyor. Genellikle aynı saldırgan ya da tamamen farklı bir grup için ikinci bir koz satın alıyor; gelip daha fazlasını istemeleri için zemin hazırlıyor.

Fidye Ödemenin Neden İkinci Bir Saldırıya Davetiye Çıkardığı

Saldırganın bakış açısından düşünüldüğünde, tekrarlanan şantajın ardındaki mantık oldukça basittir. Bir fidye yazılımı grubunun tüm iş modeli, kurbanların ödemenin krizi sonlandıracağına inanmasına dayanır. Ancak ortada yasal bir sözleşme, bir yaptırım mekanizması ya da para el değiştirdikten sonra saldırganın sözünü garanti altına alacak kadar güçlü bir itibar riski yoktur. Bir kurban zaten ödeme yapma isteğini ve becerisini göstermişse, o kurban kapanmış bir hesap değil, daha cazip bir hedef hâline gelir.

Güvenlik araştırmacılarının fidye yazılımı müzakeresini normal bir ticari işlemden temelde farklı olarak tanımlamasının sebeplerinden biri de budur. Karşı tarafın gerçekten çekip gitmesi için hiçbir teşvik yoktur. Bir kez başarıyla ödeme koparmış bir suç örgütü, aynı kuruluşun tekrar ödeme yapıp yapmayacağını test etmek için her türlü sebebe sahiptir; ister sistemleri yeniden şifreleyerek, ister daha önce çalınan verileri ikinci kez sızdırmakla tehdit ederek, isterse de doğrudan ilk ihlale bağlı yeni bir talep açarak.

Bu dinamik, sektörün çifte şantaj veya çoklu şantaj olarak adlandırdığı durumla yakından ilişkilidir; saldırganlar yalnızca dosyaları şifrelemekle kalmaz, öncesinde verileri de çalar, böylece fidye ödendikten sonra bile kurbanı sıkıştıracak birden fazla baskı noktası elde eder. Proofpoint'in bulguları, bu ilk baskı kampanyası başarılı olduktan sonra dahi kuyunun illa ki kurumayacağını gösteriyor.

Tespit Edilemeyen İhlallerin Tekrar Şantajı Nasıl Kolaylaştırdığı

Tekrarlanan şantajın saldırganlar için bu kadar iyi çalışmasının bir nedeni, pek çok kurbanın ödeme kararı aldığı sırada ihlalin kapsamını tam olarak anlamamış olmasıdır. Bir kuruluş şifrelenmiş dosyaları keşfeder ve önce hangi verilere erişildiğini, kopyalandığını ya da arka kapı olarak neler bırakıldığını tam olarak belirlemeden bir fidye için pazarlık yaparsa, aslında neyi geri satın aldığını bilmeden bir bedel üzerinde anlaşmış olur.

Tespit ile müdahale arasındaki bu boşluk, fidye yazılımı araştırmalarında yinelenen bir temadır. Fidye yazılımı tespit hataları hakkında ilgili bir raporda da ele alındığı üzere, fidye yazılımı mağdurlarının neredeyse yarısı, bir saldırının sürdüğünü fark etmeden önce veri kaybı yaşar. Bu gecikme burada son derece önemlidir: Bir kurban, saldırganın fidye yazılımını devreye sokmadan haftalar önce veri sızdırdığını bilmiyorsa, dosyaların kilidini açmak için ödeme yapmak, suçluya ait bir sunucuda duran ve ikinci bir talep yoluyla yeniden paraya çevrilebilecek, ayrıca satılabilecek ya da ileride taze bir sızıntı tehdidi için kullanılabilecek çalınmış bilgiler için hiçbir şey ifade etmez.

Savunma Adımları: Yedeklemeler, İzleme ve Olay Müdahale Planlaması

Proofpoint'in raporundan çıkan pratik sonuç, fidyenin hiçbir koşulda asla ödenmemesi gerektiği değil, ödemenin asla kesin bir çözüm olarak görülmemesi gerektiğidir. İster büyük kuruluşlar ister daha küçük ağları veya işletmeleri yöneten bireyler olsun, kaynaklarını müzakerenin aşağı yönüne değil, önleme ve tespitin yukarı yönüne yatırmak daha iyi sonuç verir.

Bu, şifrelenmiş dosyaların kimseye ödeme yapmadan geri yüklenebilmesi için düzenli, test edilmiş, çevrimdışı yedeklemelerin tutulması anlamına gelir. Saldırganlar büyük hacimlerde hassas bilgiyi dışarı sızdırmaya zaman bulamadan, yetkisiz veri erişimini yakalayabilen izleme araçlarına yatırım yapmak anlamına gelir. Ve bir saldırı gerçekleşmeden önce, yalnızca dosyaların şifrelenip şifrelenmediğini değil, tam olarak nelere erişildiğini belirlemeye yönelik adli soruşturmayı da içeren bir olay müdahale planına sahip olmak anlamına gelir.

Bunun Sizin İçin Anlamı

Küçük işletme sahipleri ve bireyler için bu araştırmanın mesajı açıktır: Fidye ödemenin, o anda göründüğü gibi hızlı ve temiz bir çözüm olduğunu varsaymayın. Sizi bir kez şantaj yapmaya istekli olduğunu kanıtlamış saldırganların, bunu tekrar yapmak için hem araçları hem de saiki vardır. Fidye yazılımının tekrarlanan şantaj saldırılarına karşı gerçek savunma, daha iyi bir müzakere stratejisi değil; güçlü yedeklemeler, daha hızlı tespit ve net bir müdahale planı aracılığıyla en başta bu duruma düşme olasılığını azaltmaktır.

Uygulanabilir Çıkarımlar

  • Fidye ödemesini garantili bir çözüm değil son çare olarak görün; zira Proofpoint'in verileri saldırganların sıklıkla yeni taleplerle geri döndüğünü gösteriyor.
  • Sadece şifrelemenin ödeme kararını zorlayamaması için çevrimdışı, test edilmiş yedeklemelere öncelik verin.
  • Gecikmiş tespit saldırganlara tekrarlanan şantaj için daha fazla koz verdiğinden, veri sızıntısını erken yakalayan tespit araçlarına yatırım yapın.
  • Bir saldırı gerçekleşmeden önce, herhangi bir ihlalin tam kapsamını belirleyecek adli adımları da içeren bir olay müdahale planı oluşturun.
  • Saldırganlar ne vaat ederse etsin, fidye ödenmeden önce çalınan her türlü verinin gelecekte bir risk olarak kalmaya devam edeceğini varsayın.