Нові дані підтверджують: виплати програм-вимагачів не купують тривалої безпеки
Свіжі матеріали, на які звернув увагу The Register і які висвітлено в короткому огляді SC Media, додають до все більшого обсягу доказів, що сплата вимоги програм-вимагачів не є надійним способом запобігти майбутнім атакам. Організації, які платять, щоб відновити дані або припинити вимагання, часто стають ціллю повторно — іноді з боку того самого злочинного угруповання, а іноді від зовсім іншого, яке дізналося, що жертва готова платити. Ця закономірність проявляється навіть тоді, коли скоординовані зусилля правоохоронних органів, як-от операція «Cronos», руйнують великі інфраструктури програм-вимагачів зсередини.
Висновок простий, але незручний для багатьох організацій: виплати та повторні атаки тісно пов’язані, не тому що платіж гарантує безпеку, а тому що він часто сигналізує зловмисникам — цей об’єкт прибутковий і не готовий захищатися.
Чому платіж створює хибне відчуття безпеки
Коли бізнес втрачає доступ до своїх систем або йому загрожує публічний витік даних, сплата викупу може здаватися найшвидшим шляхом до нормальної роботи. Проте нові дані підтверджують те, про що дослідники безпеки говорять роками: платіж — це лише транзакція, а не гарантія. Угруповання програм-вимагачів — це злочинні підприємства, і не існує жодної зобов’язуючої угоди, що дані буде видалено, що ключі дешифрування спрацюють або що ті самі вразливості не використають знову.
Організації, які платять, часто роблять це через відсутність належних резервних копій, планів реагування на інциденти або внутрішньої експертизи для швидкого відновлення систем. Ті самі слабкі місця зазвичай залишаються і після виплати, тобто двері, через які зловмисники потрапили вперше, часто залишаються відчиненими. Платіж вирішує лише поточну кризу, а не першопричину.
Саме тому опитування Proofpoint показало, що сплата програм-вимагачам часто дає зворотний ефект набагато частіше, ніж очікують жертви. Опитування підкріпило попередження конкретними цифрами, показавши, що значна частка організацій, які заплатили, усе одно зазнала втрати даних, додаткових спроб вимагання або повторних вторгнень.
Як угруповання програм-вимагачів визначають і знову атакують попередніх платників
Операції з програмами-вимагачами дедалі більше функціонують як бізнес — з партнерськими мережами, службою підтримки для жертв і обміном розвідданими про те, які цілі варто атакувати. Щойно організація платить, ця інформація може поширюватися серед злочинних груп через прямий обмін даними, продаж доступу до мережі або просто репутацію на підпільних форумах.
Жертва, яка платить швидко і без значного опору, стає відомою величиною: м’яка ціль із доведеною готовністю віддавати гроші. Навіть коли дії правоохоронців, такі як операція «Cronos», успішно порушують конкретну інфраструктуру вимагачів, екосистема брокерів доступу, вкрадені облікові дані та невиправлені вразливості, що призвели до початкового проникнення, часто залишаються доступними для інших загрозливих суб’єктів. Ліквідація одного угруповання не обов’язково захищає попередню жертву від іншого, яке використовує ті самі слабкі місця.
Практичний захист: резервні копії, сегментація та посилення VPN
Найважливіший урок із цих даних полягає в тому, що запобігання та стійкість важливіші за перемовини. Кілька практичних кроків дають відчутний результат:
- Створюйте офлайн-резервні копії й тестуйте їх. Відключені від основної мережі та регулярно перевірені на відновлюваність резервні копії — це найефективніший спосіб узагалі уникнути потреби платити.
- Сегментуйте мережі. Обмеження того, як далеко зловмисник може просунутися всередині, зменшує зону ураження від одного скомпрометованого облікового запису або пристрою.
- Посиліть віддалений доступ. VPN та інструменти віддаленого робочого столу є поширеними точками входу для програм-вимагачів. Увімкнення багатофакторної автентифікації, своєчасне оновлення програмного забезпечення VPN та закриття невикористовуваних точок віддаленого доступу позбавляє зловмисників легкої точки опори.
- Розробіть план реагування на інциденти до того, як станеться атака. Знаючи, кому телефонувати, як ізолювати уражені системи та як комунікувати зі стейкхолдерами, ви зменшуєте тиск платити, щоб просто швидко позбутися проблеми.
Що це означає для вас
Незалежно від того, чи ви відповідаєте за ІТ у малому бізнесі, чи просто керуєте власними пристроями, сигнал із цих даних однаковий: не вважайте виплату засобом порятунку. Якщо ваша організація колись зіткнеться з вимогою викупу, поставтеся до інциденту як до сигналу про наявність прогалин у безпеці, а не як до перемовин, які потрібно закрити й забути. Організації, які найкраще здатні швидко відновитися та уникнути повторних атак, — це ті, що інвестували в резервне копіювання, моніторинг мережі та контроль доступу до атаки, а не гарячково реагували постфактум.
Ключові висновки
- Нові дані свідчать, що виплати програм-вимагачів і повторні атаки часто йдуть пліч-о-пліч, спростовуючи припущення, що платіж вирішує загрозу.
- Дії правоохоронців проти окремих угруповань не усувають ширшу екосистему вразливостей, які спричинили початкову атаку.
- Офлайн-резервні копії, сегментація мережі та посилений віддалений доступ є надійнішим захистом, ніж будь-які перемовини про викуп.
- Організації повинні будувати плани реагування на інциденти зараз, а не вирішувати, як діяти, під час активної атаки.
Програми-вимагачі нікуди не зникають, але рішення платити не слід сприймати як швидке виправлення. Пріоритет запобіганню, стійким резервним копіям і безпечному віддаленому доступу залишається найефективнішим способом не дати вашим даним і вашій організації опинитися під прицілом зловмисників.
