Атаки програм-вимагачів більше не є проблемою, притаманною лише великим корпораціям із значними бюджетами та виділеними командами з безпеки. За словами Міхаеля Сьєберга та Петера Сковбо з Delta Crisis, середній бізнес, який є основою багатьох національних економік, дедалі частіше опиняється паралізованим через атаки зловмисників, які шифрують критичні системи та вимагають оплату за відновлення доступу. Їхні рекомендації, опубліковані через Handelsblatt, пропонують рідкісний погляд зсередини на те, як компанії насправді ведуть переговори з кібервимагачами та які кроки можуть зменшити збитки ще до того, як атака станеться.

Чому середні компанії стали новою ціллю

Протягом багатьох років заголовки про програми-вимагачі зосереджувалися на лікарнях, державних установах і транснаціональних корпораціях. Ця картина змінюється. Зловмисники зрозуміли, що менші та середні компанії часто не мають багаторівневого захисту, як у великих підприємств, але при цьому зберігають цінні дані та не можуть дозволити собі тривалий простій. Цей зсув відображає ширшу тенденцію, задокументовану в екосистемі програм-вимагачів, де деякі групи перейшли до того, що дослідники називають придушенням мереж малого та середнього бізнесу, атакуючи цілі кластери менших організацій, а не ретельно обираючи окремих високоцінних жертв. Логіка проста: обсяг замінює точність, і навіть скромні виплати викупу накопичуються, коли їх помножити на десятки жертв.

Досвід Delta Crisis свідчить, що після атаки різниця між компанією, яка відновлюється з обмеженими збитками, і тією, що зазнає довготривалої шкоди, часто зводиться до підготовки та того, як самі переговори ведуться в перші години та дні.

Усередині переговорів щодо програми-вимагача

За словами Сьєберга та Сковбо, ведення переговорів із кіберзлочинцями — це не просто рішення про те, чи платити. Це вимагає розуміння бізнес-моделі зловмисника, перевірки того, які дані насправді були викрадені або зашифровані, та управління комунікацією таким чином, щоб не спровокувати групу на знищення даних і не показати відчай, який міг би підвищити вимоги. Це делікатна робота, і вона дедалі більше нагадує професійну сферу послуг з обох сторін столу переговорів. Ця професіоналізація помітна в ширшому ландшафті програм-вимагачів. Групи прийняли структуровані моделі програм-вимагачів як послуги (RaaS), що також видно в попередженнях про розширення Gunra ransomware до моделі RaaS, де афіліати здійснюють атаки, використовуючи інструменти, створені основною групою, в обмін на частку прибутку. Результат — більш масштабований і повторюваний процес вимагання, і саме тому стратегія переговорів настільки важлива для жертви.

Точка входу для багатьох таких атак також заслуговує на увагу. Зловмисники часто отримують початковий доступ через соціальну інженерію, а не через використання маловідомих технічних вразливостей. Кампанії, які зловживають такими інструментами, як Microsoft Teams, щоб видавати себе за фейкову ІТ-підтримку, показують, як один переконливий телефонний дзвінок або повідомлення в чаті може відкрити двері до повного компрометування мережі задовго до появи будь-якої записки з вимогою викупу.

Ставки щодо конфіденційності та витоку даних

Переговори щодо програм-вимагачів — це не лише відновлення доступу до зашифрованих файлів. Сучасні групи програм-вимагачів зазвичай викрадають дані перед шифруванням, а потім погрожують опублікувати або продати цю інформацію, якщо оплата не буде здійснена. Ця модель подвійного вимагання значно підвищує ставки щодо конфіденційності. Записи клієнтів, дані співробітників і конфіденційна бізнес-інформація можуть бути оприлюднені незалежно від того, чи заплатить компанія. Зловмисники також стали більш витонченими в ухиленні від виявлення під час фази вторгнення, включаючи методи, які повністю відключають інструменти безпеки, як видно в звітах про GodDamn ransomware, який зловживає підписаним драйвером для відключення антивірусних програм. Така скритність означає, що порушення може залишатися непоміченим набагато довше, даючи зловмисникам більше часу для ексфільтрації чутливих даних, перш ніж хтось усвідомить, що щось не так.

Що це означає для вас

Якщо ви керуєте середньою компанією або працюєте в ній, послання від Delta Crisis є чітким: готовність до програм-вимагачів більше не є опціональною, і вона починається задовго до атаки. Базова гігієна, офлайн-резервні копії, протестовані плани реагування на інциденти та навчання персоналу протидії соціальній інженерії залишаються найсильнішим захистом. Якщо атака все ж сталася, рішення про те, чи вести переговори і як це робити, ніколи не повинно прийматися ізольовано або в паніці. Досвідчені переговірники розуміють психологію зловмисників, перевіряють заяви, перш ніж їм довіряти, і вміють вигравати час без загострення загроз щодо викрадених даних.

Для осіб, чиї дані можуть зберігатися в системах компанії, це також підкреслює, чому організації зобов'язані забезпечувати прозорість для клієнтів у разі порушення, оскільки переговори щодо програм-вимагачів безпосередньо впливають на те, чи залишиться особиста інформація приватною, чи буде витік.

Ключові висновки

Компанії будь-якого розміру повинні розглядати програми-вимагачі як сценарій "коли", а не "якщо". Створіть план реагування на інциденти до атаки, підтримуйте протестовані офлайн-резервні копії та заздалегідь визначте, хто вестиме комунікацію, якщо вимагачі вийдуть на зв'язок. Навчіть персонал розпізнавати спроби соціальної інженерії, особливо видавання себе за інших через повсякденні інструменти співпраці. Якщо переговори стають необхідними, залучайте досвідчених професіоналів, а не імпровізуйте, оскільки те, як компанія реагує в перші години, може визначити як фінансовий результат, так і те, наскільки багато особистих або корпоративних даних у результаті буде розкрито.