Каталог із понад 50 атак програм-вимагачів показує, що модель змінюється

Нова збірка прикладів атак програм-вимагачів, що охоплює десятки великих витоків і фінансові витрати на них, показує дещо варте уваги поза голими цифрами: механіка цих атак еволюціонує таким чином, що особисті дані опиняються під більшим ризиком, ніж могло спричинити саме лише шифрування.

Класичний варіант програми-вимагача, який часто називають криптовимагачем, працює саме так, як більшість людей собі уявляє. Шкідливий код потрапляє до мережі та шифрує файли за допомогою стійких алгоритмів — зазвичай AES-256 для замикання самих даних і RSA-2048 для захисту ключа шифрування. Після завершення цього процесу файли практично неможливо відновити без приватного ключа атакувальника. Після цього жертвам показують повідомлення з вимогою викупу, зазвичай у Bitcoin або Monero, часто з таймером зворотного відліку та погрозою знищити ключ, якщо сплине встановлений строк.

Ця модель сформувала ту репутацію, яку програми-вимагачі мають сьогодні: заблокована лікарня, паралізована міська адміністрація, виробник, який не може відвантажити продукцію. Але каталог прикладів вказує на другу, тихішу тактику, яка набирає обертів паралельно, — тактику, що взагалі не покладається на шифрування.

Вимагання через викрадення даних не потребує блокування жодного файлу

Замість того щоб зашифровувати файли, деякі зловмисники тепер просто непомітно копіюють чутливі дані з мережі, а потім погрожують оприлюднити або продати їх, якщо не отримають платіж. Немає зворотного відліку на замороженому робочому столі, немає ІТ-відділу, який гарячково відновлює дані з резервних копій. Важіль тиску — не порушення роботи, а викриття.

Ця відмінність важлива для кожного, хто думає про власну приватність, а не лише для організацій, що розпоряджаються бюджетами на безпеку. Шифрувальні програми-вимагачі, по суті, є проблемою доступності: ваші дані все ще існують, ви просто не можете отримати до них доступ, доки їх не відновлять або не заплатять викуп. Вимагання через викрадення даних — це проблема конфіденційності: інформація вже витекла, вже лежить на сервері зловмисника, і жоден викуп не може цього скасувати. Навіть організації з надійними резервними копіями та швидкими планами відновлення не мають справжньої відповіді на загрозу, повністю побудовану навколо викриття. Угруповання, які працюють за моделлю «вимагач як послуга», подібні до тих, що докладно описані в матеріалі про LockBit 5.0 та його діяльність після операції «Кронос», активно використовують саме цей подвійний підхід: шифруй, що можеш, кради, що не можеш, — і шантажуй за обома напрямками.

Чому вимога викупу — лише частина історії

Висвітлення атак програм-вимагачів у медіа зазвичай фіксується на самій сумі викупу, і це легко зрозуміти: конкретна сума в доларах — це яскравий заголовок. Але фінансові витрати від атаки часто відображають лише «реактивний» бік балансу: реагування на інцидент, простої, юридичні витрати, регуляторні штрафи та — якщо його сплатили — сам викуп. Чого ця цифра не враховує, так це подальших наслідків для приватності людей, чиї дані були в цій системі: пацієнтів, чиї медичні записи викрито, клієнтів, чиї платіжні дані скопійовано, співробітників, чия персональна інформація зберігалася в базі даних відділу кадрів, яку викрали.

Саме в цьому полягає справжній вплив на приватність, прихований у цих каталогах витоків. Компанія може відновити свої системи, сплатити штрафи та рухатися далі. Людина, чиї дані вкрадено, не отримує такого ж безпроблемного відновлення. Її інформація може безстроково циркулювати після того, як вона покинула оригінальну мережу, з’являючись у списках для підстановки облікових даних, фішингових кампаніях або спробах викрадення особистості задовго після того, як про початкову атаку забули новини.

Що це означає для вас

Якщо ви звичайний споживач, висновок не в тому, що вам потрібно особисто захищатися від програм-вимагачів, — це організаційна проблема компаній, які зберігають ваші дані. Але перехід до вимагання через викрадення даних означає, що сповіщення про витоки заслуговують на більше уваги, ніж зазвичай, навіть коли компанія каже, що викуп не сплачено або системи не постраждали. «Нічого не зашифровано» більше не означає «нічого не вкрадено».

Якщо ви працюєте в ІТ або безпеці, урок із цих понад 50 прикладів полягає в тому, що самої лише стратегії резервного копіювання вже недостатньо. Планування відновлення має враховувати викриття даних, а не лише простої, а це означає шифрування чутливих даних у стані спокою, обмеження того, до чого може отримати доступ будь-який скомпрометований обліковий запис, і ставлення до виявлення витоку даних так само серйозно, як і до виявлення самої програми-вимагача.

Практичні кроки, які варто зробити

Кілька звичок мають велике значення, незалежно від того, з якого боку витоку ви перебуваєте. Приватним особам варто відстежувати сповіщення про витоки, пов’язані з сервісами, якими вони користуються, вмикати багатофакторну автентифікацію скрізь, де вона пропонується, та з підозрою ставитися до небажаних повідомлень, що посилаються на деталі облікового запису, оскільки викрадені дані часто живлять подальші фішингові атаки. Організаціям слід виходити з того, що будь-яке успішне вторгнення може включати викрадення даних, навіть за відсутності видимого повідомлення з вимогою викупу, і будувати плани реагування, які охоплюють розкриття інформації та захист клієнтів, а не лише відновлення систем.

Перетворення програм-вимагачів із суто шифрувальної загрози на ширшу економіку вимагання слугує нагадуванням, що боротьба точиться не лише за те, щоб підтримувати роботу систем. Йдеться про те, щоб із самого початку зберігати інформацію приватною, і ця відповідальність тягнеться далеко за межі того моменту, коли на екрані з’являється повідомлення з вимогою викупу.