Що показують нові дані про повторне вимагання викупу програмами-вимагачами

Свіжі дані, опубліковані Коннором Джонсом на DataBreaches.Net, підтверджують те, про що дослідники безпеки підозрювали роками: сплата викупу банді програм-вимагачів не завершує випробування, а часто лише позначає початок другого раунду. Згідно з даними опитування, наведеними поруч зі звітом, 58 відсотків постраждалих організацій у Великій Британії вирішили сплатити викуп минулого року. З тих, хто заплатив, 22 відсотки зазнали повторної атаки від тієї самої або іншої злочинної групи з вимогою другого платежу.

Це означає, що приблизно кожна п’ята організація, яка ухвалила важке рішення заплатити, не отримала нічого тривалого за свої гроші. Цикл вимагання просто перезавантажився, іноді за лічені тижні. Така модель повторних платежів за вимаганням з боку програм-вимагачів стає визначальною рисою сучасного ландшафту загроз, змушуючи команди безпеки та керівників переосмислювати весь розрахунок щодо того, чи є сплата викупу коли-небудь раціональною відповіддю.

Чому одна сплата запрошує другу атаку

Логіка повторного вимагання проста з точки зору злочинця. Як тільки організація демонструє готовність платити, вона стає позначеною ціллю. Оператори програм-вимагачів ведуть облік того, які жертви здалися, як швидко вони заплатили та скільки були готові віддати. Ця інформація часто циркулює серед партнерських мереж, інколи продається або поширюється між злочинними групами, що працюють за моделлю «вимагач як послуга».

Жертва, яка одного разу сплатила 500 000 доларів, фактично подала сигнал, що має як грошові резерви, так і толерантність до ризику, щоб заплатити знову. Зловмисники знають, що друге вторгнення, навіть менш складне, має високі шанси на успіх, якщо вразливості, які дозволили перший прорив, так і не були повністю усунені. У багатьох випадках подвійного та потрійного вимагання викрадені дані навіть не видаляються після оплати, незважаючи на протилежні обіцянки, залишаючи двері відчиненими для наступної вимоги, побудованої на загрозі опублікувати ту саму викрадену інформацію.

Саме тому правоохоронні органи, включно з ФБР, постійно радять не платити викуп. Платіж не гарантує відновлення даних, не гарантує видалення викрадених файлів, і, як показують ці нові дані, не гарантує, що зловмисники залишать вас у спокої.

Проактивний захист, що знижує ризик програм-вимагачів

Якщо сплата викупу не вирішує проблему надійно, то більш сталий шлях — це зменшення ймовірності успішного прориву в першу чергу. Кілька рівнів захисту постійно виявляються у звітах з реагування на інциденти як різниця між стриманим інцидентом і катастрофічним.

Сегментація мережі обмежує, наскільки далеко зловмисник може просунутися після отримання початкової точки опори. Замість однієї плоскої мережі, де одне скомпрометоване посвідчення відкриває доступ до всього, сегментовані середовища змушують нападників боротися за кожен додатковий дюйм, виграючи час для захисників на виявлення та реагування.

Засоби контролю доступу з нульовою довірою припускають, що жоден користувач чи пристрій не є автоматично надійним, навіть усередині корпоративного периметра. Кожен запит на доступ перевіряється, що значно ускладнює використання лише викрадених облікових даних для розблокування критичних систем.

Надійні, перевірені та офлайн-резервні копії залишаються одним із найефективніших засобів захисту від програм-вимагачів. Зашифровані файли перестають бути важелем тиску, коли організація може відновити роботу з чистих резервних копій без жодних переговорів. Ключове слово — перевірені: резервні копії, які не були підтверджені реальними тренуваннями з відновлення, часто виходять з ладу саме тоді, коли вони найбільше потрібні.

Багатофакторна автентифікація, своєчасне встановлення патчів на системи, доступні з Інтернету, та безперервний моніторинг підозрілого горизонтального переміщення доповнюють базовий рівень, який відрізняє організації, що швидко відновлюються, від тих, хто опиняється перед другою вимогою викупу.

Що організаціям варто робити замість сплати викупу

Коли інцидент із програмою-вимагачем все ж трапляється, бажання швидко заплатити і змусити проблему зникнути є зрозумілим, особливо під тиском клієнтів, регуляторів або ради директорів, яка вимагає швидкого вирішення. Але дані про повторне вимагання чітко показують, що платіж не є надійною стратегією виходу. Організаціям краще залучати правоохоронні органи на ранній стадії, залучати фахівців з реагування на інциденти, які можуть оцінити реальний обсяг витоку даних, і бути прозорими з постраждалими зацікавленими сторонами, а не припускати, що тиха сплата змусить проблему зникнути.

Що це означає для вас

Незалежно від того, чи ви керуєте ІТ для малого бізнесу, чи відповідаєте за політику безпеки в більшій організації, ці дані є чітким сигналом перерозподілити пріоритети. Гроші, зарезервовані на випадок сплати викупу, набагато краще витратити на проекти сегментації, розгортання нульової довіри та інфраструктуру резервного копіювання, яка регулярно тестується. Поліси кіберстрахування та угоди про реагування на інциденти також слід переглянути, щоб вони наголошували на можливостях запобігання та відновлення, а не просто покривали виплату.

Для окремих осіб висновок подібний у меншому масштабі: надійні унікальні паролі, багатофакторна автентифікація та регулярне резервне копіювання особистих і сімейних пристроїв зменшують ймовірність того, що одне зараження програмою-вимагачем перетвориться на повторюваний жах.

Практичні висновки

  • Ставтеся до сплати викупу як до крайнього заходу, а не як до першого плану реагування; дані показують, що це часто не припиняє загрозу.
  • Інвестуйте в сегментацію мережі, щоб один скомпрометований обліковий запис не міг розкрити все середовище.
  • Застосовуйте принципи нульової довіри для внутрішнього та віддаленого доступу, перевіряючи кожен запит, а не довіряючи лише місцю в мережі.
  • Підтримуйте офлайн-резервні копії, які регулярно тестуються, щоб відновлення не залежало від переговорів зі злочинцями.
  • Створіть план реагування на інциденти зараз, до того, як станеться атака, щоб рішення не приймалися в паніці та під тиском.

Зростання кількості повторних вимагань викупу програмами-вимагачами є вагомим аргументом для перенесення ресурсів із реактивних переговорів на проактивний захист. Організації, які здійснять цей перехід зараз, будуть у значно кращому становищі, ніж ті, хто все ще сподівається, що одна сплата змусить проблему зникнути.