Повідомляється, що кількість атак програм-вимагачів зросла майже на 50%, і малий бізнес зазнає найбільших збитків. Що робить цю тенденцію складнішою для контролю — це зміна тактики. Випадки крадіжки даних із вимаганням у малому бізнесі дедалі частіше включають зловмисників, які не блокують жодного файлу. Вони викрадають дані, а потім погрожують опублікувати або продати їх, якщо не отримають оплату.

У вихідній статті цитується NordLayer з описом цього зсуву: дедалі більше груп вимагання пропускають шифрування і просто викрадають дані, а потім погрожують жертві. Повний текст, доступний нам, короткий, тому цей пост обмежується цими тезами та загальновідомими практиками безпеки, не додаючи цифр, які ми не можемо перевірити.

Чому резервні копії більше не зупиняють вимагання

Класична атака програми-вимагача блокувала ваші файли й продавала вам ключ. Хороші резервні копії були відповіддю: відновіть системи й рухайтеся далі. Ця порада досі актуальна, але вона вирішує лише половину сучасної проблеми.

Коли зловмисники викрадають дані замість їх шифрування, на вашому боці нічого не зламано. Ваші системи можуть працювати нормально. Важіль тиску походить від того, що тепер мають злочинці: записи клієнтів, інформація про співробітників, контракти, фінансові дані. Відновлення з резервної копії нічого не робить, щоб вирвати цю копію з їхніх рук.

Ось чому записка про викуп у таких випадках будується навколо розголошення, а не простою. Загроза полягає в тому, що ваші клієнти, партнери або регулятори дізнаються, що було викрадено. Резервні копії захищають доступність. Вони не захищають конфіденційність.

Чому малий бізнес несе основний тягар

У статті зазначається, що малий бізнес зазнає більшості зростання. Хоча ми не можемо самостійно розібрати причини з вихідного тексту, кілька загальних факторів добре визнані в колах безпеки:

  • Менше виділеного персоналу з безпеки. Багато малих компаній покладаються на одного IT-фахівця загального профілю або зовнішнього постачальника.
  • Пласкі мережі та спільний доступ. У менших середовищах один скомпрометований обліковий запис часто може отримати доступ до великої кількості даних.
  • Тиск швидко заплатити. Завод, який не може працювати, або клініка, яка боїться витоку, можуть відчувати, що не можуть дозволити собі тривале відновлення.

Крадіжка даних із вимаганням також знижує зусилля зловмисників. Пропуск шифрування означає менше кроків і менше шуму, що може зробити вторгнення складнішим для виявлення до того, як надійде вимога.

Захист, що обмежує те, що злодії можуть викрасти

Якщо мета — зменшити те, що можна викрасти, оборонний фокус зміщується від самого відновлення до контролю над даними. Практичні кроки включають:

  1. Знайте, що ви зберігаєте. Інвентаризуйте дані клієнтів, співробітників і фінансові дані та видаляйте те, що більше не потрібно. Дані, яких ви не зберігаєте, не можуть бути викрадені.
  2. Обмежте доступ. Надавайте кожній людині доступ лише до того, що вимагає її робота, і видаляйте облікові записи, коли люди йдуть.
  3. Використовуйте багатофакторну автентифікацію. Викрадені паролі — поширений спосіб проникнення, і другий фактор підвищує планку.
  4. Сегментуйте мережу. Тримайте конфіденційні системи окремо, щоб одне порушення не викривало все.
  5. Шифруйте конфіденційні дані під час зберігання. Викрадені файли, належним чином зашифровані, набагато менш корисні для злодія.
  6. Слідкуйте за незвичайними передачами. Великий або дивний вихідний рух даних може бути ранньою ознакою попередження.
  7. Все одно зберігайте перевірені офлайн-резервні копії. Атаки з шифруванням не зникли, і групи можуть поєднувати обидва методи.
  8. Підготуйте план реагування на інциденти. Заздалегідь вирішіть, кому телефонувати, включаючи юридичного консультанта та вашого IT-провайдера, перш ніж вдарить тиск.

Щоб побачити, як велика операція з програм-вимагачів рухається від входу до вимагання, аналіз LockBit 3.0, що охоплює 2 000 жертв у 95 країнах відображає повний ланцюг атаки і показує, де захисники можуть його перервати.

Де VPN доречний, а де ні

VPN може бути корисною частиною налаштування малого бізнесу, але це не ліки від програм-вимагачів. Його основна цінність — захист трафіку між віддаленими працівниками та корпоративними ресурсами, особливо в публічних або ненадійних мережах, і обмеження того, наскільки внутрішні служби відкриті до інтернету.

Чого VPN не робить — це не зупиняє фішинг, не виправляє непропатчене програмне забезпечення і не запобігає тому, щоб співробітника з дійсними обліковими даними обманом змусили їх передати. Якщо зловмисник входить із викраденими обліковими даними, VPN може навіть дати йому зручний шлях всередину. Він також не шифрує файли, що лежать на ваших серверах, і не стежить за даними, що залишають вашу мережу.

Сприймайте VPN як один шар серед кількох. Він працює найкраще разом із надійною автентифікацією, патчингом, контролем доступу та моніторингом.

Що це означає для вас

Якщо ви керуєте малим бізнесом або працюєте в ньому, припускайте, що мати резервні копії більше недостатньо. Питання, яке слід ставити, — не лише «Чи можемо ми відновитися?», а й «Що хтось міг би викрасти, і що сталося б, якби вони це опублікували?»

Малим командам не потрібні корпоративні бюджети, щоб покращити своє становище. Зменшення обсягу конфіденційних даних, які ви зберігаєте, посилення того, хто може до них дістатися, і ввімкнення багатофакторної автентифікації впливають саме на той важіль, який тягнуть групи вимагання. Ставтеся до будь-якого VPN як до допоміжного інструменту, а не як до самого плану.

Ключові висновки

  • Повідомляється, що кількість програм-вимагачів зросла майже на 50%, причому найбільше постраждав малий бізнес.
  • Дедалі більше груп викрадають дані без шифрування, тому лише резервні копії не можуть задовольнити вимогу вимагання.
  • Обмежте експозицію, мінімізуючи збережені дані, обмежуючи доступ і шифруючи те, що залишається.
  • Використовуйте VPN як один шар захисту, а не заміну решті.

Цього тижня проведіть аудит того, які дані зберігає ваш бізнес і хто може до них отримати доступ. Потім прочитайте, як діє велика група, у нашому розборі програм-вимагачів LockBit 3.0, щоб побачити, як ці атаки розгортаються на практиці і де ваші засоби захисту малого бізнесу від крадіжки даних із вимаганням мають бути найсильнішими.