Рансомвер-атаки орієнтуються на ймовірність виплати, а не на популярність
Роками популярний образ жертви рансомверу мав гучне ім'я: лікарняна система, велика авіакомпанія, глобальний виробник. Але нещодавній аналіз робить простіший і корисніший висновок: рансомвер-атаки орієнтуються на ймовірність виплати, а не на популярність. Зловмисники, а конкретно афіліати, які здійснюють більшість рансомвер-вторгнень, не ганяються за заголовками. Вони ганяються за виплатою, і це змінює те, хто опиняється в їхньому прицілі.
Економіка цього процесу прямолінійна. Більшість сучасного рансомверу працює за моделлю ransomware-as-a-service, де основна група створює шкідливе програмне забезпечення та інфраструктуру, а незалежні афіліати здійснюють фактичні злами. Ці афіліати отримують комісію лише тоді, коли жертва платить. Цей єдиний факт перебудовує весь процес вибору цілі. Замість запитання «хто спричинить найбільший резонанс» афіліати запитують «хто найімовірніше заплатить, і як швидко».
Чому ймовірність виплати переважає над упізнаваністю бренду
Коли виплата є єдиним джерелом доходу, популярність стає нерелевантною, якщо вона не корелює з готовністю або здатністю платити. Відомий бренд із надійними резервними копіями, відпрацьованим планом реагування на інциденти та публічним зобов'язанням ніколи не вести переговори зі зловмисниками насправді є поганою ціллю, навіть якщо його злом привернув би більше уваги медіа. Тим часом компанія середнього розміру зі слабшим захистом, покриттям кіберстрахування та бізнес-моделлю, яка не витримує простою, стає значно привабливішою.
Сигнали, які підвищують уявну ймовірність виплати жертвою, включають докази наявності коштів, чіткий внутрішній процес для швидкого авторизації великих платежів, залежність від безперервної роботи та історію (публічну або передбачувану) минулих виплат викупу. Організації, які публічно відмовилися платити, подають протилежний сигнал. Stadler Rail, наприклад, відмовилася від вимоги викупу в розмірі 12,3 мільйона доларів від вимагацького угруповання Everest після того, як зловмисники викрали технічні дані через постачальника — рішення, яке знижує стимул для цієї ж групи надавати пріоритет подібним цілям у майбутньому. Уряд Берліна зайняв подібну позицію, підтвердивши, що не платитиме хакерам, незважаючи на активну спробу вимагання після вторгнення в мережу. Кожна публічна відмова підточує розрахунок ймовірності виплати, який визначає прийняття рішень афіліатами.
Аспект приватності: крадіжка даних не чекає на рішення
Ця логіка вибору цілі має прямий наслідок для приватності, який часто губиться в дебатах про виплату викупу. Задовго до того, як жертва вирішить, чи платити, зловмисники зазвичай уже викрали дані. Сучасні рансомвер-операції дедалі частіше покладаються на подвійне вимагання, шифруючи системи та водночас викрадаючи конфіденційні файли для використання як додаткового важеля. Це означає, що особиста інформація, фінансові записи та внутрішнє листування можуть бути розкриті або продані незалежно від результату викупу.
Атака групи ShinyHunters на колумбійську компанію фінансових послуг Addi.com яскраво ілюструє цей ризик. Група взяла на себе відповідальність за викрадення 16 мільйонів фінансових записів — масштаб розкриття, який не має нічого спільного з тим, чи була Addi.com відомою або політично значущою ціллю. Це відображає ту саму основну логіку: компанія фінансових послуг, що зберігає великі обсяги конфіденційних даних, становить високоцінну можливість для вимагання, незалежно від упізнаваності бренду. Для пересічних користувачів це означає, що ваші дані можуть опинитися під загрозою просто тому, що організація, яка їх зберігає, виглядала для афіліата як хороша ставка, а не тому, що вона була ціллю, яку хтось очікував би побачити.
Що це означає для вас
Якщо вибір цілі зумовлений ймовірністю виплати, а не популярністю, практичний висновок полягає в тому, що жодна організація, незалежно від розміру чи видимості, не може вважати, що вона «занадто мала, щоб мати значення» для рансомвер-операторів. Менші компанії, медичні установи, фінансові платформи та місцеві державні органи часто є привабливими саме тому, що вони можуть мати менш зрілий захист і вищий операційний тиск для швидкого відновлення доступу.
Для окремих осіб це підкріплює знайому, але важливу реальність: безпека ваших персональних даних значною мірою залежить від стану безпеки кожної організації, яка їх зберігає, а не лише від відомих. Фінансові установи, менші постачальники послуг і постачальники в ланцюгу поставок — усі вони є ймовірними точками входу, як демонструє інцидент зі Stadler Rail.
Практичні висновки
Організаціям слід розглядати цілісність резервних копій, планування реагування на інциденти та публічну комунікацію щодо політики викупу як інструменти, що безпосередньо знижують їхню привабливість для афіліатів, які шукають легких виплат. Окремі особи повинні виходити з того, що будь-який сервіс, який зберігає конфіденційні персональні або фінансові дані, може стати ціллю, і мають використовувати надійні унікальні паролі, вмикати багатофакторну автентифікацію всюди, де це можливо, та стежити за рахунками на предмет незвичайної активності після будь-якого повідомлення про витік. Оскільки рансомвер-атаки орієнтуються на ймовірність виплати, а не на популярність, пильність щодо менших, менш відомих постачальників є так само важливою, як і стеження за новинами про атаки на великі бренди. Розуміння того, як ухвалюються ці рішення, — один із найпростіших способів випередити ризик.
