Що показують нові дані про виплату викупу
Новий звіт компанії з кібербезпеки Proofpoint, опублікований у середу, дає неприємне підтвердження для всіх, хто коли-небудь розглядав можливість заплатити угрупованню програм-вимагачів, щоб вирішити проблему: значна частка жертв, які платять, зрештою стикаються з повторною вимогою викупу. Звіт підкріплює те, про що дослідники безпеки та спеціалісти з реагування на інциденти говорять уже багато років: переговори з вимагачами не ведуться добросовісно, і виплата не гарантує, що зловмисник справді відступить.
Дані Proofpoint додають конкретні цифри до закономірності, яку захисники давно підозрювали на основі окремих випадків. Організації, які виконують вимогу викупу, не купують собі завершення інциденту. Часто вони купують лише другий раунд важелів тиску для того самого зловмисника — або для зовсім іншої групи, — щоби ті повернулися й попросили ще.
Чому виплата викупу провокує повторну атаку
Логіка повторного вимагання стає очевидною, якщо поглянути на неї з позиції зловмисника. Уся бізнес-модель угруповання програм-вимагачів залежить від того, щоби жертви вірили, ніби платіж припиняє кризу. Але тут немає юридичного договору, немає механізму примусу до виконання зобов’язань, немає й достатньо сильного репутаційного ризику, який би гарантував слово зловмисника після того, як гроші переведено. Якщо жертва вже продемонструвала готовність і спроможність платити, вона стає більш привабливою мішенню, а не закритим рахунком.
Це одна з причин, чому дослідники безпеки описують переговори з вимагачами як принципово відмінні від звичайної ділової угоди. У протилежної сторони немає стимулу справді відступити. Злочинне угруповання, яке успішно отримало викуп одного разу, має всі підстави перевірити, чи та сама організація заплатить знову — чи то через повторне шифрування систем, чи то через погрози повторно злити раніше викрадені дані, чи просто відкривши нову вимогу, пов’язану з початковим вторгненням.
Ця динаміка тісно пов’язана з тим, що в індустрії називають подвійним вимаганням або мультивимаганням, коли зловмисники не лише шифрують файли, а й заздалегідь викрадають дані, що дає їм кілька точок тиску, аби дотискати жертву навіть після сплати викупу. Висновки Proofpoint свідчать, що навіть після успіху первинної кампанії тиску це джерело не обов’язково вичерпується.
Як непомічені вторгнення полегшують повторне вимагання
Одна з причин, чому повторне вимагання настільки добре працює для зловмисників, полягає в тому, що багато жертв на момент ухвалення рішення про виплату не до кінця розуміють масштаб вторгнення. Якщо організація виявляє зашифровані файли й веде переговори про викуп, попередньо не встановивши, які саме дані було переглянуто, скопійовано або залишено як бекдор, вона фактично погоджується на ціну, не знаючи, що саме намагається викупити.
Цей розрив між виявленням і реагуванням — постійна тема в дослідженнях програм-вимагачів. Як зазначено у пов’язаному звіті про невдачі виявлення програм-вимагачів, майже половина всіх жертв програм-вимагачів втрачають дані ще до того, як усвідомлюють, що атака триває. Ця затримка тут має величезне значення: якщо жертва не знає, що зловмисник викрав дані за кілька тижнів до розгортання програми-вимагача, то платіж за розблокування файлів ніяк не вирішує проблему викраденої інформації, що зберігається на злочинному сервері, — її можна знову монетизувати через другу вимогу, продати окремо або використати для нової загрози зливу в майбутньому.
Захисні кроки: резервні копії, моніторинг і планування реагування на інциденти
Практичний висновок зі звіту Proofpoint не в тому, що платити викуп не можна за жодних обставин. Він у тому, що платіж ніколи не слід розглядати як гарантоване вирішення проблеми. Організаціям, а також окремим особам, які керують невеликими мережами чи бізнесами, вигідніше інвестувати на попередніх етапах — у запобігання й виявлення, а не згодом — у переговори.
Це означає підтримку регулярних, перевірених, офлайн-резервних копій, щоб зашифровані файли можна було відновити без жодних виплат. Це означає інвестування в інструменти моніторингу, здатні виявити несанкціонований доступ до даних до того, як зловмисники встигнуть викрасти великі обсяги конфіденційної інформації. І це означає наявність плану реагування на інцидент ще до початку атаки — плану, який включає криміналістичне розслідування для точного визначення того, до чого саме отримали доступ, а не просто факту шифрування файлів.
Що це означає для вас
Для власників малого бізнесу та приватних осіб меседж цього дослідження чіткий: не вважайте, що сплата викупу — це швидке й чисте рішення, яким воно здається в конкретний момент. Зловмисники, які вже довели свою готовність вимагати у вас гроші одного разу, мають і засоби, і мотив зробити це знову. Справжній захист від повторних атак програм-вимагачів — це не краща стратегія переговорів, а зменшення ймовірності опинитися в такій ситуації завдяки надійним резервним копіям, швидшому виявленню та чіткому плану реагування.
Практичні висновки
- Ставтеся до виплати викупу як до крайнього заходу, а не гарантованого вирішення, оскільки дані Proofpoint показують, що зловмисники часто повертаються з новими вимогами.
- Пріоритезуйте офлайн-резервні копії, що пройшли перевірку, щоб саме лише шифрування не примушувало до рішення платити.
- Інвестуйте в інструменти виявлення, які фіксують викрадення даних на ранніх стадіях, адже запізніле виявлення дає зловмисникам більше важелів для повторного вимагання.
- Складіть план реагування на інцидент до того, як станеться атака, включно з криміналістичними кроками для визначення повного масштабу вторгнення.
- Виходьте з того, що будь-які дані, викрадені до сплати викупу, залишаються майбутнім ризиком, незалежно від того, що обіцяють зловмисники.
