Раніше програми-вимагачі мали просту, хоч і жорстоку, схему дій: зловмисники шифрували файли й вимагали оплату за ключ розшифрування. Заплати — і випробування завершено. Ця модель змінилася. Сучасні угруповання програм-вимагачів дедалі частіше викрадають копію ваших даних ще до того, як запустять процедуру шифрування, а потім погрожують опублікувати їх незалежно від того, чи буде сплачено викуп. Дослідники з кібербезпеки називають це подвійним вимаганням, і це означає, що відновлення більше не зводиться лише до відновлення файлів. Ідеться про припущення, що ваші дані вже покинули будівлю.

Чому сучасні програми-вимагачі викрадають дані перед шифруванням

Саме лише шифрування втратило свою важелевість, коли організації почали серйозно ставитися до резервних копій. Якщо жертва може просто відновити дані з офлайн-копії, платити викуп за ключ розшифрування стає безглуздим. Зловмисники адаптувалися, додавши другу точку тиску: спочатку викрадення конфіденційних файлів. Навіть компанія з бездоганними резервними копіями тепер стикається із загрозою публікації чи продажу іншим злочинним угрупованням викрадених записів клієнтів, фінансових документів чи медичних даних.

Цей зсув особливо помітний у сфері охорони здоров'я та фінансових послуг, де самі дані, а не лише безперебійна робота систем, є справжньою здобиччю. Інциденти, пов'язані з витоком медичних даних ChipSoft, порушенням DentaQuest, що зачепило мільйони пацієнтів, та порушенням McKesson, пов'язаним з угрупованням вимагачів ShinyHunters, — усі вони ілюструють, як зловмисники тепер розглядають викрадені записи як розмінну монету, окрему від самого шифрування. Оплата за розблокування файлів більше не гарантує, що дані не з'являться пізніше.

5 криміналістичних кроків, які слід зробити протягом першої години після атаки

Коли виявляють програму-вимагач, перші шістдесят хвилин важать більше, ніж майже будь-який інший етап інциденту. Дії, продиктовані панікою, як-от негайне вимкнення кожної машини, можуть знищити докази, потрібні для розуміння того, що насправді сталося. Натомість:

  1. Ізолюйте, не вимикайте. Від'єднайте уражені пристрої від мережі (витягніть Ethernet, вимкніть Wi-Fi), а не вимикайте їх. Вимкнення може стерти енергозалежну пам'ять, яка містить підказки про те, як зловмисники потрапили всередину і до чого отримали доступ.
  2. Негайно збережіть журнали. Журнали міжмережевого екрана, журнали доступу через VPN і записи систем виявлення на кінцевих пристроях часто є першим, що зловмисники намагаються стерти. Експортуйте або зробіть резервну копію цих журналів, перш ніж робити будь-що інше.
  3. Визначте точку входу. Перевірте на ознаки фішингових листів, відкритих портів віддаленого робочого столу або скомпрометованих облікових даних. Знання початкового вектора доступу визначає кожне наступне рішення.
  4. Визначте, яких даних торкнулися, а не лише що зашифрували. Шукайте незвичні вихідні передачі даних за години чи дні до початку шифрування. Великі передачі файлів на незнайомі зовнішні IP-адреси — сильний сигнал того, що сталося викрадення.
  5. Залучіть криміналістичного спеціаліста або команду реагування на інциденти якомога раніше. Навіть для малого бізнесу професіонал, здатний належно задокументувати хронологію, є критично важливим для юридичних, регуляторних і страхових цілей.

Діючи методично в цьому вікні, ви не лише допомагаєте локалізації. Це визначає, чи зможете ви згодом довести, що саме було викрадено, а що ні, що надзвичайно важливо для зобов'язань щодо повідомлення та публічних заяв.

Як розпізнати, який тип крадіжки даних стався

Не кожен інцидент із програмою-вимагачем передбачає крадіжку даних, і не кожна крадіжка даних передбачає шифрування. Розрізнити їх можна, дивлячись на конкретні докази:

  • Атаки лише із шифруванням залишають файли заблокованими, але не показують ознак великих вихідних передач у мережевих журналах. Записка з вимогою зазвичай згадує лише розшифрування, а не публікацію.
  • Атаки з подвійним вимаганням показують і зашифровані файли, і докази підготовки даних, як-от стиснені архіви, створені незадовго до атаки, або незвичну автентифікацію з інструментів викрадення. Записка з вимогою зазвичай погрожує злити дані на спеціалізованому сайті для зливів.
  • Чиста крадіжка даних (без шифрування) дедалі частіше трапляється сама по собі, особливо проти хмарних баз даних і SaaS-платформ. Тут системи продовжують працювати нормально, але зловмисники тихо копіюють записи й згодом вимагають оплату, щоб запобігти публікації. Витік 700 ГБ у даркнеті, що зачепив Bank of Baroda та порушення Veradigm, про яке заявило угруповання вимагачів Gentlemen — обидва показують, як заяви про крадіжку можуть з'являтися навіть тоді, коли операційні збої мінімальні.

Розрізнення цих сценаріїв на ранньому етапі допомагає організаціям відкалібрувати свою реакцію — від строків повідомлення про порушення до того, як вони комунікують із постраждалими клієнтами.

Захисні рівні, що зменшують вразливість: шифрування, VPN і моніторинг

З огляду на те, що подвійне вимагання з використанням програм-вимагачів виходить із припущення, що дані будуть розкриті незалежно від усього, найефективніший захист — зменшити те, що взагалі можна розкрити. Шифрування конфіденційних даних у стані спокою означає, що навіть якщо зловмисники викрадуть файли, їхній вміст залишиться нечитабельним без окремих ключів. Використання VPN для віддаленого доступу закриває одну з найпоширеніших точок входу — відкриті шлюзи віддаленого робочого столу та VPN зі слабкими або повторно використаними обліковими даними, які зловмисники регулярно сканують і експлуатують. Безперервний моніторинг мережі, який виявляє незвичні обсяги вихідних даних, також може виявити викрадення в процесі, ще до початку шифрування.

Що це означає для вас

Якщо ви керуєте малим бізнесом або відповідаєте за його ІТ, реакція на подвійне вимагання з використанням програм-вимагачів не може починатися тоді, коли з'являється записка з вимогою. Вона починається з базової гігієни: зашифровані резервні копії, що зберігаються офлайн, контрольований доступ через VPN замість відкритих портів віддаленого робочого столу та письмовий план реагування на інциденти, у якому зазначено, хто кому телефонує протягом першої години. Для споживачів, чиї дані зберігаються в постачальників медичних послуг, банків або адміністраторів пільг, практичний висновок — пильність після повідомлення про порушення, оскільки викрадені дані можуть з'явитися навіть тоді, коли компанія наполягає, що ситуацію з викупом було вирішено.

Практичні висновки

  • Припускайте, що будь-який інцидент із програмою-вимагачем може передбачати крадіжку даних, а не лише шифрування, доки криміналістичні докази не доведуть протилежне.
  • Протягом першої години ізолюйте системи, не вимикаючи їх, і збережіть журнали, перш ніж їх зможуть змінити або видалити.
  • Шифруйте конфіденційні дані у стані спокою, щоб викрадені файли були менш цінними для зловмисників, навіть якщо їх викрадуть.
  • Захищайте віддалений доступ належно налаштованим VPN, а не відкритими протоколами віддаленого робочого столу.
  • Стежте за повідомленнями про порушення від постачальників, якими користуєтеся, і ставтеся до них серйозно, навіть якщо організація стверджує, що ситуацію з викупом локалізовано.

Подвійне вимагання змінило те, що означає «відновитися» після програми-вимагача. Оплата не гарантує, що ваші дані залишаться приватними, а відмова платити не означає, що вони зникнуть. Найкраще підготовлені до таких атак організації та окремі особи — це ті, хто ставився до захисту даних як до щоденної звички задовго до того, як зловмисник узагалі потрапив усередину.