Раніше програми-вимагачі були простою, жорстокою проблемою: зловмисники блокували ваші файли й вимагали оплату за ключ. Сьогодні картина складніша. Цей посібник пропонує пояснення атак програм-вимагачів із подвійним вимаганням для широкого загалу, based on a recent Japanese-language commentary by Masaya Kinoshita, який описує, як шкода від програм-вимагачів стає дедалі витонченішою та серйознішою.
Головний момент полягає в тому, що основною тактикою тепер є «подвійне вимагання». Зловмисники більше не просто шифрують дані. Вони також викрадають інформацію та погрожують її оприлюднити, якщо їхні вимоги не буде виконано. Ця зміна змінює саме значення захисту — як для організацій, так і для окремих людей, чиї дані ці організації зберігають.
Як працює подвійне вимагання
У класичній атаці програм-вимагачів злочинці шифрують файли жертви й вимагають гроші за розшифрування. Головне питання для жертви — чи зможе вона відновити свої системи.
Подвійне вимагання додає другий важіль тиску. Перед шифруванням або під час нього зловмисники копіюють конфіденційну інформацію з мережі жертви. Потім вони висувають дві погрози одночасно:
- Платіть, інакше ваші системи залишаться заблокованими.
- Платіть, інакше ваші викрадені дані буде опубліковано.
У коментарі це описано як основний підхід, а не як щось екзотичне. Саме друга погроза робить цю тактику настільки ефективною. Навіть жертва з ідеальним планом відновлення все одно стикається з перспективою появи на публіці записів клієнтів, даних співробітників або внутрішніх документів.
Чому самих лише резервних копій більше не достатньо
Резервне копіювання даних залишається обов'язковим. Джерело наголошує на забезпеченні надійних резервних копій як одному з конкретних заходів, які слід впроваджувати організаціям, оскільки належні резервні копії дають жертві змогу відновити роботу без оплати ключа для розшифрування.
Але резервні копії відповідають лише на загрозу шифрування. Вони нічого не роблять із викраденими копіями. Відновлення файлів із чистої резервної копії не повертає ваші дані із сервера зловмисника. Щойно інформацію було викрадено, жертва втрачає контроль над тим, хто її побачить, і злочинці це знають.
Ось чому джерело поєднує резервні копії з іншими заходами, такими як багатофакторна автентифікація. Не дати зловмисникам потрапити всередину або вільно переміщатися там, коли вони вже всередині, — це єдиний спосіб запобігти крадіжці ще на початку. Резервні копії — це інструмент відновлення, а не інструмент запобігання.
Що сайти витоку даних, як-от RansomHouse, означають для ваших персональних даних
Тиск, що стоїть за подвійним вимаганням, часто застосовується публічно. У джерелі згадується сайт під назвою RansomHouse — приклад сайту витоку, де угруповання-вимагачі називають жертв і погрожують оприлюднити або справді публікують викрадені матеріали. Відео, про яке йдеться в коментарі, висвітлює такий сайт як частину поточної загрози.
Для пересічних людей ключовий момент полягає в тому, що ви можете постраждати, навіть ніколи не бувши ціллю. Якщо компанію, клініку, школу чи постачальника, які зберігають вашу інформацію, буде зламано, ваші дані можуть бути серед викрадених. Публікація на сайті витоку є ознакою того, що угруповання чинить тиск на організацію, а не доказом того, що заява є правдивою. Наприклад, у нашому матеріалі про розміщення компанії Capgemini Engineering у списку Everest ransomware зазначено, що такі заяви зазвичай на момент появи є неперевіреними.
Нещодавній приклад цієї схеми — злам Uber Freight, коли угруповання Helix заявило про майже 1 млн файлів після розміщення компанії на своєму сайті витоку в даркнеті. Компанія заявила, що розслідує інцидент із безпекою даних. Якщо ви хочете зрозуміти, куди далі потрапляє викрадена інформація, наш пояснювальний матеріал про те, що відбувається з вашими даними після зламу описує ланцюгову реакцію, яка може за цим слідувати.
Що це означає для вас
Більшість читачів не керують корпоративною мережею, але ви все одно є частиною історії подвійного вимагання. Ваші дані живуть у чужих системах, і ви не можете контролювати їхню безпеку. Що ви можете контролювати — це те, якої шкоди завдасть вам витік.
Опублікований або проданий набір персональних даних може живити фішинг, спроби захоплення акаунтів і видавання себе за іншу особу. Повторне використання паролів погіршує ситуацію, бо один викрадений обліковий запис може відкрити доступ до кількох акаунтів. Добра новина в тому, що кілька звичок різко обмежують наслідки.
Практичні кроки для окремих людей і малих організацій
Для окремих людей:
- Використовуйте унікальний пароль для кожного акаунта, зберігаючи їх у менеджері паролів.
- Увімкніть багатофакторну автентифікацію всюди, де вона пропонується, починаючи з електронної пошти, банківських послуг і хмарного сховища.
- Ставтеся з недовірою до несподіваних повідомлень, які згадують ваші справжні дані, адже витік даних робить шахрайство переконливішим.
- Якщо вас повідомили про злам, негайно змініть уражений пароль і всі інші, що з ним збігалися.
- Діліться лише тією персональною інформацією, яка справді потрібна сервісу.
Для малих організацій:
- Підтримуйте надійні резервні копії та зберігайте принаймні одну копію офлайн або окремо від вашої основної мережі, щоб зловмисники не могли зашифрувати й її.
- Вимагайте багатофакторну автентифікацію для співробітників, особливо для віддаленого доступу та адміністративних акаунтів.
- Збирайте й зберігайте менше конфіденційних даних. Інформацію, якої ви не маєте, не можна викрасти.
- Підготуйте план реагування на інциденти, який охоплює викрадення даних, а не лише відновлення систем, зокрема те, кого ви повідомите.
Ключові висновки
Розуміння атак програм-вимагачів із подвійним вимаганням, пояснене простими словами, зводиться до однієї ідеї: шифрування — це видима атака, а крадіжка — тривала. Резервні копії захищають вашу роботу, але лише запобігання, як-от багатофакторна автентифікація та обмеження обсягу даних, що зберігаються, зменшує ймовірність витоку.
Щоб побачити, що зазвичай відбувається після викрадення інформації, прочитайте наш посібник про те, що відбувається з вашими даними після зламу і ознайомтеся зі звітом про Uber Freight і Helix як нещодавнім прикладом розміщення на сайті витоку з метою вимагання. Потім приділіть десять хвилин сьогодні, щоб увімкнути багатофакторну автентифікацію для ваших найважливіших акаунтів.
