Жертви програм-вимагачів, які платять викуп, сподіваючись, що проблема зникне, часто розчаровуються. Нещодавно опубліковане глобальне дослідження, Звіт про програми-вимагачі в епоху ШІ, опитало майже 1000 фахівців з безпеки на 12 ринках і виявило, що сплата викупу є далеко не гарантованим рішенням. Ці висновки додають ваги попередженню, яке дослідники безпеки повторюють роками: повторні вимоги викупу після атак програм-вимагачів є реальним і зростаючим ризиком, а не рідкісним винятком.

Що виявив Звіт про програми-вимагачі в епоху ШІ

Опитування малює тривожну картину того, як організації реагують після атаки програм-вимагачів. Понад половина організацій, які постраждали від атаки, а саме 54%, зрештою сплатили викуп, намагаючись відновити свої чутливі дані. Із тих, хто платив, 56% дійсно отримали доступ до своїх файлів або систем. Але більш тривожним є те, що сталося далі: понад третина жертв, 37%, отримали другу вимогу викупу вже після сплати першої.

Ця статистика сама по собі має змінити те, як організації думають про реагування на програми-вимагачі. Сплата не є одноразовою операцією, яка завершує інцидент. Для понад третини жертв у цьому дослідженні це був лише перший крок у довшому та дорожчому циклі.

Чому сплата не гарантує безпеку або відновлення даних

Варто зупинитися на цих цифрах. Навіть серед організацій, які платили, майже половина все одно не змогла повністю відновити свої дані. А значна частка тих, хто отримав свої файли назад, знову стала мішенню, чи то того самого зловмисника, який вимагав більше грошей, чи то іншої групи, яка побачила у сплаті доказ того, що жертва готова вести переговори.

Ця закономірність узгоджується з іншими нещодавніми дослідженнями. Опитування Proofpoint, висвітлене на vpn.social, також виявило, що сплата бандам програм-вимагачів часто має зворотний ефект: значна частка жертв, які заплатили, стикається з новими спробами вимагання. Щойно організація платить, вона може потрапити до списку підтверджених платників, інформація про який поширюється серед злочинних груп і робить цю організацію привабливішою мішенню для майбутніх атак, а не менш привабливою.

Також не існує жодного юридично зобов'язувального контракту в переговорах щодо програм-вимагачів. Зловмисники не мають жодних правових чи репутаційних стимулів виконувати свою частину угоди після отримання грошей. Ключі дешифрування можуть бути неповними, містити помилки або просто ніколи не бути наданими. Дані, які були викрадені та використані як важіль тиску, все одно можуть бути продані, оприлюднені або використані для другого раунду вимагання, незалежно від обіцянок.

Альтернативи запобіганню: резервні копії, шифрування та сегментація мережі

Враховуючи такі шанси, більш стійкою стратегією є зменшення ймовірності того, що вам взагалі доведеться вирішувати, чи платити. Кілька практик стабільно демонструють свою ефективність як захист:

  • Підтримуйте офлайн-резервні копії, які протестовані. Резервні копії, від'єднані від основної мережі та регулярно тестовані на відновлення, дозволяють організації відновитися без переговорів зі зловмисником.
  • Шифруйте чутливі дані у стані спокою та під час передачі. Навіть якщо зловмисники викрадуть файли, надійне шифрування обмежує те, що вони можуть реально використати чи продати, зменшуючи важіль тиску під час погрози витоку даних.
  • Сегментуйте мережі. Поділ систем на ізольовані зони обмежує поширення програм-вимагачів після отримання початкового доступу, локалізуючи шкоду в меншій частині організації.
  • Регулярно оновлюйте програмне забезпечення та моніторте. Багато вторгнень програм-вимагачів досі використовують відомі невиправлені вразливості або слабкі облікові дані віддаленого доступу, тому базова гігієна закриває значну частину точок входу.

Жоден із цих заходів не робить організацію невразливою до атак, але разом вони зменшують як ймовірність успішного зламу, так і тиск щодо сплати викупу, якщо такий станеться.

Створення плану реагування на інциденти до того, як станеться атака

Організації, які найкраще справляються з інцидентами програм-вимагачів, зазвичай є тими, які вже відрепетирували своє реагування до моменту атаки. Це означає наявність задокументованого плану, який чітко визначає, хто ухвалює рішення про сплату викупу, які юридичні та правоохоронні контакти повідомляються, як організовується комунікація зі співробітниками та клієнтами, а також як системи ізолюються та відновлюються.

Проведення навчань у форматі табличних вправ, під час яких персонал відпрацьовує симульований сценарій атаки, допомагає виявити прогалини в плані, коли немає реального тиску. Це також прискорює фактичне реагування, коли інцидент трапляється, скорочуючи вікно вразливості та зменшуючи спокусу заплатити лише тому, що жоден інший варіант не здається готовим.

Що це означає для вас

Для керівників ІТ-відділів та команд безпеки цей звіт є нагадуванням про те, що повторні вимоги викупу після програм-вимагачів є досить поширеними, щоб враховувати їх у плануванні, а не як найгірший виняток. Ставтеся до сплати викупу як до крайнього заходу з реальними шансами на провал, а не як до надійної страховки. Бюджетуйте запобігання (резервні копії, сегментацію, моніторинг) так само, як ви бюджетуєте будь-які інші ключові інфраструктурні витрати, оскільки цифри свідчать, що це дешевше в довгостроковій перспективі, ніж повторні переговори зі зловмисниками.

Для окремих користувачів та менших організацій без виділеної команди безпеки ті самі принципи працюють у меншому масштабі: зберігайте офлайн-копію всього, що неможливо відновити, використовуйте шифрування там, де воно доступне, і заздалегідь знайте, до кого ви звернетеся, якщо ваші системи будуть заблоковані.

Ключові висновки

  • 54% опитаних організацій, які постраждали від атаки програм-вимагачів, сплатили викуп, але лише 56% платників повністю відновили доступ до своїх даних.
  • 37% організацій, які заплатили, отримали другу вимогу викупу, що показує: сплата не припиняє ризик.
  • Офлайн-резервні копії, шифрування та сегментація мережі зменшують як шанси на успішну атаку, так і тиск щодо сплати.
  • Перевірений план реагування на інциденти, створений до атаки, скорочує час відновлення та зменшує залежність від виплат викупу.
  • Читачі можуть ознайомитися з висновками опитування Proofpoint для отримання додаткових підтверджуючих даних про те, як часто виплати викупу не вирішують атаку.