Угруповання програм-вимагачів переписують свій список цілей
Роками загальноприйнята думка про програми-вимагачі була простою: зловмисники полюють на ІТ-адміністраторів, людей із ключами до мережі. Нові дані свідчать, що це припущення застаріло. Згідно з нещодавнім дослідженням, 62% жертв програм-вимагачів тепер обіймають посади рівня керівника або вище — це сигнал, що нападники свідомо просуваються вгору організаційною структурою, а не зосереджуються на технічному персоналі.
Цей зсув важливий, тому що він змінює коло тих, хто має думати про ризик програм-вимагачів. Тепер це вже не лише проблема команди безпеки чи служби підтримки. Якщо ви керуєте командою, затверджуєте бюджети або маєте доступ до конфіденційних файлів у межах своєї роботи — ви тепер безпосередньо під прицілом.
Чому керівники тепер — головна ціль
Логіка цього зрушення стає очевидною, якщо зрозуміти, як насправді працюють атаки програм-вимагачів. Зловмисники не просто намагаються проникнути в системи; вони прагнуть примусити до виплати. Керівники та досвідчені співробітники зазвичай мають ширший доступ до фінансових даних, записів клієнтів, кадрових файлів і внутрішніх комунікацій, ніж типовий технічний адміністратор, який керує однією системою. Такий доступ робить їхні облікові записи ціннішими в разі компрометації, а також перетворює їх на ефективніші точки тиску під час переговорів.
Працює також людський фактор. Саме про захист керівників компанії зазвичай відчувають найбільшу терміновість — як з репутаційних, так і з юридичних причин. Зловмисник, який може продемонструвати доступ до поштової скриньки або файлів керівника, отримує важіль впливу, що виходить за межі простого блокування системи. Це стає загрозою для репутації, відносин із клієнтами, а в деяких випадках — і для дотримання нормативних вимог.
Така зміна цілей також відображає професіоналізацію угруповань програм-вимагачів. Багато з них тепер діють не як хакери-одинаки, а як організований бізнес: вони досліджують, хто всередині компанії-мішені найімовірніше має цінний доступ і найбільш схильний під тиском сприяти виплаті. Поширення моделі «вимагач як послуга» лише пришвидшило цю тенденцію, дозволяючи менш технічно підкованим злочинним угрупованням орендувати інструменти й тактики, які раніше були доступні лише спеціалізованим хакерським командам. Варто зауважити, що багато з того, що продається на форумах даркнету під виглядом «захисту» чи інсайдерського доступу, саме по собі є ненадійним і експлуататорським — цю закономірність розкрито в статті Продажі «безпеки» в даркнеті — це справжнє шахрайство.
Наслідки для приватності працівників і компаній
Коли обліковий запис або пристрій керівника скомпрометовано, наслідки для приватності виходять далеко за межі однієї особи. Керівники часто мають доступ до персональних даних працівників, клієнтських контрактів, фінансових записів, а в деяких галузях — і до медичної або юридичної інформації. Скомпрометований обліковий запис може викрити конфіденційні дані цілої організації, а не лише одну поштову скриньку.
Це не гіпотетичний ризик. Великомасштабні витоки, пов’язані з викраденням корпоративних даних, неодноразово демонстрували, наскільки руйнівним може бути потрапляння внутрішніх записів до рук зловмисників, як це видно на прикладі витоку даних Novo Nordisk із 1,3 ТБ викрадених даних клінічних випробувань. Щойно такі дані викрадено, шкода не обмежується виплатою викупу; це може означати безповоротне розкриття конфіденційної інформації, посилену увагу регуляторів і довгострокову репутаційну шкоду для організації.
Правоохоронні органи дедалі активніше переслідують операторів програм-вимагачів, і судові вироки трапляються, як засвідчує вирок, детально описаний у статті Хакери TfL Джубейр і Флаверс отримали п’ять років ув’язнення за злам на £29 млн. Але судове переслідування відбувається вже після завдання шкоди. Запобігання залишається набагато ефективнішим за будь-яку юридичну реакцію постфактум.
Що це означає для вас
Якщо ви обіймаєте будь-яку керівну або наглядову посаду, ця тенденція має спонукати до перегляду ваших особистих звичок щодо безпеки, а не лише ІТ-політик компанії. Зловмисники розраховують, що старші співробітники рідше дотримуються суворих протоколів безпеки, ніж ІТ-фахівці, і з більшою ймовірністю мають широкий, неконтрольований доступ до конфіденційних систем.
Практичні кроки тут мають значення. Використовуйте унікальні, надійні паролі для робочих облікових записів, вмикайте багатофакторну автентифікацію скрізь, де це можливо, і будьте обережні з неочікуваними вкладеннями чи посиланнями, навіть якщо вони на перший погляд надходять від колег або постачальників. Керівники також повинні наполягати на регулярному навчанні своїх команд із виявлення фішингу та переконатися, що в організації є чіткий, протестований план реагування на інциденти, виконання якого не покладається виключно на ІТ-персонал.
Як випередити цей зсув
Націленість програм-вимагачів на керівників замість технічного персоналу є ознакою того, наскільки прорахованими стали ці операції. Зловмисники йдуть за доступом, а не за назвою посади на папері. Для працівників на всіх рівнях, але особливо для тих, хто обіймає керівні ролі, це означає, що ставлення до кібербезпеки як до частини своєї роботи, а не до чужої відповідальності, стає обов’язковим. Організації, які найшвидше адаптуються до цього зсуву — навчаючи керівників разом з ІТ-персоналом і обмежуючи непотрібний доступ до конфіденційних даних, — матимуть найкращі шанси не стати наступною статистикою в цій зростаючій тенденції.
