Що насправді показують дані Proofpoint щодо програм-вимагачів в Індії

Новий звіт компанії Proofpoint малює тривожну картину для організацій в Індії, які стикаються з програмами-вимагачами. Дані показують, що 62% постраждалих індійських фірм повідомили про вищий загальний вплив від своєї останньої атаки — ознака того, що ці інциденти стають більш руйнівними, а не меншими, навіть попри зростання обізнаності та витрат на захист. Мабуть, найпомітнішим є підтвердження того, що в індійських атаках програм-вимагачів вимагання через крадіжку даних стало нормою, а не винятком: крадіжку даних було підтверджено у 71% досліджених Proofpoint інцидентів.

Ця статистика змінює уявлення про те, що багато організацій досі вважають проблемою програм-вимагачів. Йдеться вже не лише про зашифровані файли та записку з вимогою викупу. У переважній більшості досліджених випадків зловмисники вже вивантажили конфіденційні дані до того, як заблокувати системи, отримуючи другий важіль тиску, навіть якщо резервні копії жертви достатньо надійні, щоб уникнути сплати за ключ дешифрування.

Чому сплата викупу не зупиняє повторне вимагання

Попри поширені рекомендації правоохоронних органів і фахівців з безпеки не платити викуп, 64% постраждалих індійських організацій все одно заплатили. Інстинкт зрозумілий: платіж видається найшвидшим шляхом до відновлення нормальної роботи. Але дані Proofpoint свідчать, що цей інстинкт дедалі частіше є хибним. Майже половина тих, хто заплатив — 48% — згодом отримали додаткові вимоги викупу.

Ця модель не є унікальною для Індії. Вона відображає те, що Proofpoint задокументувала у глобальному масштабі, де ті, хто платить викуп, часто зазнають повторних атак, і платіж функціонує не як вирішення проблеми, а радше як сигнал зловмисникам, що ціль готова до переговорів. Окреме дослідження Proofpoint показало, що 22% платників викупу стикаються з повторним вимаганням, тоді як інші дані вказують на те, що приблизно кожен третій платник викупу зазнає повторної атаки. Показник повторного вимагання в Індії на рівні 48% знаходиться на верхній межі цього діапазону, що свідчить про те, що організації там можуть стикатися зі ще гострішою версією цієї глобальної тенденції.

Рівень крадіжки даних 71%: що зловмисники викрадають до шифрування

Причина, чому повторне вимагання так добре працює для зловмисників, проста: як тільки дані викрадено, шифрування майже не має значення. Якщо 71% інцидентів уже включають підтверджену крадіжку даних, то сплата за ключ дешифрування ніяк не впливає на копію конфіденційних файлів, яка зберігається в інфраструктурі атакуючого. Ці дані можуть бути продані, оприлюднені або використані як новий важіль для другої чи третьої вимоги, що допомагає пояснити, чому так багато організацій, які заплатили один раз, зрештою платили знову або стикалися з новими погрозами навіть після врегулювання першої.

Це ключове зрушення, яке відрізняє сучасні програми-вимагачі від атак минулих років, спрямованих лише на блокування файлів. Шифрування порушує операційну діяльність у короткостроковій перспективі, але крадіжка даних створює довгострокову відповідальність, яку неможливо врегулювати одним платежем. Для організацій, які обробляють записи клієнтів, фінансову інформацію або власні бізнес-дані, загроза не зникає з поверненням систем до роботи.

Зменшення площі ураження: сегментація мережі, резервні копії та контроль доступу

Практична відповідь на це зрушення має виходити за межі простого рішення платити чи ні. Кілька конкретних кроків зараз важливіші, ніж будь-коли:

  • Сегментація мережі обмежує, наскільки далеко зловмисник може просунутися всередині, зменшуючи ймовірність того, що один скомпрометований обліковий запис призведе до витоку даних у масштабах усієї організації.
  • Автономні, протестовані резервні копії залишаються необхідними для відновлення після шифрування, але вони не вирішують проблему крадіжки даних, тому їх слід поєднувати з моніторингом незвичних вихідних передач даних.
  • Суворий контроль доступу та дозволи за принципом найменших привілеїв зменшують обсяг конфіденційних даних, до яких може отримати доступ будь-який скомпрометований обліковий запис.
  • Планування реагування на інциденти має виходити з того, що дані вже було скопійовано, а не лише з того, що системи можуть бути заблоковані, і має включати комунікаційний план для клієнтів і регуляторів, якщо витік даних підтвердиться.

Організації, які будують захист навколо цих принципів, працюють, виходячи з припущення, що лише запобігання не завжди буде успішним, і що обмеження радіусу ураження від вторгнення так само важливе, як і початкове недопущення зловмисників.

Що це означає для вас

Якщо ваша організація працює в Індії або обробляє дані, пов’язані з індійськими клієнтами чи партнерами, цей звіт є сигналом переглянути плани реагування на інциденти, поставивши конкретне запитання: що відбувається після того, як ми виявимо, що дані вже викрадено, а не лише після шифрування файлів? Ставлення до програм-вимагачів виключно як до проблеми доступності, яку можна вирішити за допомогою резервних копій і можливого платежу, більше не відповідає тому, як насправді розгортаються ці атаки. Модель вимагання через крадіжку даних у програмах-вимагачах, описана в даних Proofpoint для Індії, показує, що момент шифрування часто є лише одним етапом довшої кампанії.

Ключові висновки

  • Виходьте з того, що в будь-якому інциденті з програмою-вимагачем відбулася крадіжка даних; не чекайте підтвердження, щоб діяти згідно з цим припущенням.
  • Ставтеся до сплати викупу як до бізнес-рішення з реальним ризиком повторного вимагання, а не як до гарантованого вирішення проблеми — модель, яка узгоджується з іншими дослідженнями Proofpoint щодо повторного вимагання, задокументованими на різних ринках.
  • Інвестуйте в сегментацію та контроль доступу вже зараз, оскільки вони обмежують шкоду незалежно від того, як зловмисник потрапив усередину.
  • Розробіть комунікаційний план на випадок витоку даних паралельно з планом відновлення після програми-вимагача, адже ці дві події дедалі частіше є однією й тією самою.

Оскільки ширші галузеві дані щодо виплат викупу продовжують свідчити, що досвід Індії не є чимось винятковим. Це локальне відображення глобального зрушення в бік багатоетапного вимагання, і організації, які плануватимуть це вже зараз, будуть у значно кращому становищі, ніж ті, які все ще сподіваються, що один платіж змусить проблему зникнути.