Федеральне обвинувачення генерального директора MonsterCloud привертає увагу до незручного питання в економіці програм-вимагачів: що станеться, якщо компанія, яку ви наймаєте для порятунку своїх даних, нібито є частиною проблеми? Обвинувачення генерального директора MonsterCloud у шахрайстві з викупом, про яке повідомила ProPublica, звинувачує керівника фірми з відновлення даних у введенні постраждалих в оману щодо того, як було розблоковано їхні файли. Як і з будь-яким обвинуваченням, це лише allegations, і звинувачення не були доведені в суді.

Що стверджується в обвинуваченні MonsterCloud

Згідно з повідомленням, генерального директора MonsterCloud звинувачують у таємній сплаті коштів атакувальникам із програмами-вимагачами, водночас повідомляючи постраждалим, що він сам зламав шифрування. Іншими словами, клієнти вважали, що купують послугу технічного відновлення, тоді як прокурори стверджують, що справжнім рішенням було тихо надіслати гроші злочинцям, які заблокували дані.

Справа спирається на попередні публікації. Для детальних тверджень і сум у рахунках дивіться наші матеріали про власника MonsterCloud, звинуваченого в схемі виставлення рахунків за викуп на $19 млн та генерального директора MonsterCloud, якому висунуто обвинувачення через таємні платежі за викуп.

Варто наголосити, що обвинувачення — це лише звинувачення. Читачам слід ставитися до цих тверджень як до недоведених, доки суд не ухвалить рішення.

Як фірми з відновлення даних і страховики живлять цикл програм-вимагачів

Репортаж ProPublica зосередився на ширшій закономірності: американські галузі, від фірм з відновлення даних, як-от MonsterCloud, до страхових гігантів, які покривають платежі за викуп, усі сприяли підживленню економіки здирництва. Хакери блокували дані урядів та інших постраждалих, а вимоги зазвичай висувалися в біткойнах та інших важкотраced cryptocurrencies.

Проблема стимулів проста. Коли викупи сплачуються, атакувальники заробляють гроші й мають причину продовжувати. Будь-який бізнес, який заробляє на цих платежах — посередництвом, покриттям або, як стверджується, приховуванням їх у платі за послугу — зацікавлений у продовженні цього циклу. Це не означає, що кожна фірма з відновлення чи страховик поводяться неналежно. Це означає, що клієнти мають обмежену видимість того, що відбувається після того, як вони передають проблему та платіж.

Чому сплата викупу, прямо чи через посередника, є ризикованою

Твердження у справі MonsterCloud ілюструють кілька ризиків сплати викупу, навіть опосередковано:

  • Ви можете не знати, що заплатили. Якщо транзакцію обробляє посередник, ви можете ніколи не дізнатися, що кошти отримали саме атакувальники.
  • Ви покладаєтеся на твердження, які не можете перевірити. Заяву на кшталт «ми зламали це самі» нефахівцю важко перевірити.
  • Платіж фінансує майбутні атаки. Гроші, надіслані злочинцям, підтримують операцію, яка атакувала вас.
  • Немає гарантії повного відновлення. Передання грошей злочинцям, прямо чи ні, не гарантує, що ваші дані повернуться неушкодженими.

Якщо ви колись опинитеся в такій ситуації, ставте будь-якому постачальнику послуг відновлення прямі запитання: як будуть відновлені дані, чи буде здійснено будь-який платіж атакувальникам і чи можна це задокументувати письмово? Розпливчасті відповіді — це тривожна ознака.

Що це означає для вас

Для окремих осіб і малих організацій головний урок полягає в тому, що порятунок — це найслабша ланка в хронології атаки програм-вимагачів. На момент шифрування файлів ви обираєте між недосконалими варіантами, часто під тиском і з малою кількістю важелів впливу. Саме в такому становищі люди найбільш уразливі до постачальника, який перебільшує свої можливості.

Запобігання дешевше, надійніше й повністю під вашим контролем. Надійний план відновлення означає, що вам, можливо, взагалі не доведеться вирішувати, чи довіряти сервісу порятунку.

Захист власних даних: офлайн-резервні копії, 2FA та патчі

Три звички роблять більшість роботи:

  1. Тримайте зашифровані офлайн-резервні копії. Зберігайте копії на від’єднаному диску або в окремому місці, до якого програма-вимагач не може дістатися з вашої основної мережі. Шифруйте їх, щоб викрадена резервна копія не стала другою проблемою. Регулярно перевіряйте відновлення з них.
  2. Увімкніть двофакторну автентифікацію (2FA). Увімкніть її для електронної пошти, хмарного сховища, інструментів віддаленого доступу та адміністративних акаунтів. Лише викрадених паролів не повинно бути достатньо, щоб атакувальник потрапив усередину.
  3. Регулярно встановлюйте патчі. Тримайте операційні системи, браузери, маршрутизатори та бізнес-програми оновленими й відмовляйтеся від програм, які більше не отримують оновлень.

Також корисно записати простий план реагування на інцидент: кому телефонувати, як від’єднати уражені пристрої та де зберігаються ваші чисті резервні копії.

Головні висновки

Обвинувачення генерального директора MonsterCloud у шахрайстві з викупом — це нагадування скептично ставитися до будь-якої обіцянки швидкого таємного вирішення після атаки. Звинувачення залишаються allegations, але основна порада діє в будь-якому разі. Прочитайте наші матеріали про твердження щодо рахунків на $19 млн та звинувачення щодо таємних платежів за викуп для подробиць, а потім витратьте годину цього тижня на налаштування зашифрованих офлайн-резервних копій, увімкнення 2FA та встановлення відкладених оновлень. Зробити це до атаки набагато краще, ніж шукати рятівника після неї.