Чому сплата викупу не вирішує проблему
Коли програма-вимагач блокує системи компанії, інстинктивне бажання заплатити й рухатися далі цілком зрозуміле. Нове опитування компанії Proofpoint, яке охопило 953 компанії, свідчить, що цей інстинкт може дати зворотний ефект. Згідно з результатами, організації, які платять викуп, часто стають не менш, а більш привабливими цілями. Щойно злочинне угруповання підтверджує, що жертва готова платити, цю саму жертву можуть позначити для подальшої атаки.
Це важливо, тому що логіка виплати викупу завжди ґрунтувалася на простому обміні: гроші за завершення інциденту. Керівники санкціонують платежі, вірячи, що це відновить системи, видалить викрадені дані, обмежить перерви в бізнесі та захистить клієнтів. Дослідження Proofpoint показує, що такий обмін є набагато менш надійним, ніж припускає більшість організацій. Оплата не обов’язково завершує стосунки з атакуючим; у деяких випадках вона започатковує нові.
Бізнес-логіка повторної вимоги
Угруповання програм-вимагачів діють як бізнес, а бізнес шукає постійних клієнтів. Компанія, яка вже продемонструвала готовність платити, з точки зору злочинця, є перевіреним джерелом доходу. Вона має оборотний капітал, керівництво, здатне швидко авторизувати платіж, і, ймовірно, досі має ті самі вразливості, які й дозволили провести першу атаку.
Цей останній пункт є критичним. Сплата викупу вирішує безпосередню кризу, але рідко усуває глибинні прогалини в безпеці, які пропустили атакуючих. Якщо той самий вектор фішингу, незалатане програмне забезпечення або відкрита точка віддаленого доступу залишаються після інциденту, ніщо не заважає тій самій групі — або афіліатові, який придбав доступ до даних тієї самої жертви, — спробувати ще раз. Наше попереднє висвітлення дослідження Proofpoint щодо платників викупу детальніше розглядає, як часто трапляються такі повторні інциденти і чому сам платіж може слугувати сигналом для інших злочинних груп про те, що ціль є вразливою.
Зменшення ризику вимагання до того, як він виникне
Хороша новина полягає в тому, що організації тут не безсилі. Кроки, які знижують ризик програм-вимагачів, здебільшого ті самі, що їх роками рекомендують команди безпеки, — просто у світлі цих даних вони набувають більшої терміновості.
Наявність автономних, перевірених резервних копій залишається найефективнішим способом взагалі уникнути ситуації, коли доведеться приймати рішення «платити чи не платити». Якщо системи можна відновити з резервної копії без використання ключа розшифрування атакуючого, весь здирницький сценарій руйнується. Важливою є також сегментація мережі: обмеження того, наскільки далеко атакуючий може переміститися після проникнення, зменшує радіус ураження будь-якого окремого компрометування, що своєю чергою знижує важелі впливу під час переговорів щодо викупу.
Постійний моніторинг загроз та виявлення на кінцевих точках допомагають перехопити вторгнення до того, як вони переростуть у повну подію шифрування. Багато атак програм-вимагачів розгортаються днями чи тижнями між початковим доступом і фінальним шкідливим завантаженням; це вікно — можливість втрутитися. Практики безпечного віддаленого доступу, включаючи використання VPN для зашифрованих з’єднань та багатофакторну автентифікацію для кожного, хто входить з-за меж корпоративної мережі, закривають одну з найпоширеніших точок входу, які експлуатують злочинці. Жоден із цих заходів не гарантує імунітету, але разом вони зменшують імовірність того, що бізнес узагалі опиниться віч-на-віч із вимогою викупу.
Що це означає для вас
Якщо ваша організація колись стане жертвою програми-вимагача, результати Proofpoint свідчать, що сплату не слід розглядати як остаточне рішення. Перш ніж авторизувати будь-який платіж, варто запитати, чи було виявлено та усунуто вразливість, яка спричинила атаку, адже якщо ні, платіж може бути просто першим внеском у тривалі стосунки з атакуючим.
Це також привід залучити правоохоронні органи на ранньому етапі, а не заднім числом. Агенції, які відстежують угруповання програм-вимагачів, іноді можуть запропонувати інструменти дешифрування, розвідувальні дані про поведінку конкретної банди або контекст про те, чи має група історію повторних вимагань. Залучення зовнішньої експертизи з реагування на інциденти до того, як буде прийнято рішення про сплату, а не після, дає організації чіткіше уявлення про реальні варіанти дій.
Для малих підприємств без виділених команд безпеки розрахунок схожий, але ресурсів менше. Це робить профілактику ще важливішою: базові гігієнічні практики, як-от регулярне резервне копіювання, оновлене програмне забезпечення та засоби безпечного віддаленого доступу, роблять для зниження ризику більше, ніж будь-яке рішення, ухвалене вже після інциденту.
Ключові висновки
Головний урок із цього опитування Proofpoint простий: сплата викупу купує час, а не обов’язково безпеку. Організації повинні розглядати кожен інцидент із програмою-вимагачем як свідчення прогалини в безпеці, яку необхідно усунути, незалежно від того, чи здійснюється платіж. Практичні кроки, які варто пріоритезувати, включають підтримку автономних резервних копій, сегментацію мереж, моніторинг ранніх ознак вторгнення та захист віддаленого доступу надійною автентифікацією й зашифрованими з’єднаннями.
Найголовніше — будь-яке рішення про сплату має ухвалюватися разом із серйозним планом усунення недоліків, а не замість нього. Банди програм-вимагачів ведуть бізнес, і дані свідчать, що вони точно знають, яким клієнтам варто виставляти рахунок двічі.
