Нове дослідження з Сінгапуру є неприємним нагадуванням для компаній, які зважують, чи платити викуп за програми-вимагачі: оплата часто не завершує випробування. Згідно з повідомленням Singapore Business Review, 50% місцевих організацій, які постраждали від атак з вимаганням, передали гроші своїм атакувальникам, і значна частка тих жертв програм-вимагачів, які заплатили, після цього зіткнулася з повторною вимогою.

Цей висновок суперечить поширеній думці, що сплата викупу — це швидкий спосіб позбутися дорогої проблеми. Для багатьох організацій, схоже, відбувається навпаки: це сигналізує злочинним групам, що жертва готова і спроможна платити, роблячи її головним кандидатом на другий раунд.

Що виявило дослідження

Основна цифра дослідження проста, але тверезна. Половина опитаних сінгапурських організацій, які зазнали атаки програми-вимагача або вимагання, вирішили заплатити своїм атакувальникам. Це рішення, схоже на підкидання монети, ухвалюється під величезним тиском, часто під впливом зашифрованих систем, зупинених операцій і загрози репутаційних втрат.

Особливо примітним цей набір даних робить подальший розвиток подій: значна частина тих, хто заплатив, не отримала завершення інциденту. Натомість вони отримали другу вимогу викупу — чи то від тієї самої групи, яка повернулася за більшим, чи від пов’язаного зловмисника, що використав той самий доступ або витік даних. Ця модель не є унікальною для Сінгапуру. Подібні результати з’являлися в інших місцях, зокрема аналіз, який показує, що програми-вимагачі повторно вимагають гроші у 22% жертв, які вже заплатили, а окреме дослідження з Нової Зеландії виявило, що приблизно 1 з 5 виплат викупу був зраджений атакувальниками, які поверталися по більше, незважаючи на отриману оплату.

Разом ці дані малюють послідовну картину на різних ринках: сплата викупу не гарантує безпеки, а в значній кількості випадків може збільшити ймовірність повторної атаки.

Чому зловмисники повертаються за добавкою

Логіка поведінки тут проста, якщо поглянути з точки зору злочинця. Жертва, яка вже заплатила, продемонструвала три цінні для вимагача речі: у неї є доступні гроші, вона вирішила, що сплата краща за альтернативу, і їй може бракувати технічних засобів захисту, щоб запобігти повторному проникненню.

Операції з програмами-вимагачами дедалі більше нагадують бізнес із власними внутрішніми показниками. Клієнт, який платить, відверто кажучи, є перевіреним лідом. Деякі групи також діють як філії або франшизи, тобто дані жертви або доступ до мережі можуть бути перепродані або повторно використані зовсім іншим злочинним угрупованням, що призводить до другої вимоги, яка не має жодного стосунку до групи, що стоїть за першою атакою. У будь-якому випадку жертва залишається під подвійним ризиком.

Саме ця динаміка є причиною, чому агентства з кібербезпеки та дослідники давно застерігають від того, щоб розглядати сплату викупу як вирішення проблеми, а не як тимчасову та ненадійну паліативу.

Крім виплати викупу: побудова справжнього захисту

Якщо оплата не є гарантованим рішенням, куди організаціям та окремим особам слід натомість спрямовувати свої зусилля? Відповідь полягає у зменшенні ймовірності успішної атаки насамперед та обмеженні шкоди, коли вона все ж відбудеться.

Це починається з основ: підтримання офлайн-резервних копій, перевірених на працездатність, щоб зашифровані дані можна було відновити без переговорів зі зловмисниками. Це також означає посилення контролю віддаленого доступу, оскільки скомпрометовані облікові дані та відкриті протоколи віддаленого робочого столу залишаються поширеними точками входу для угруповань програм-вимагачів. Шифрування чутливого трафіку та використання безпечних, добре налаштованих VPN-з’єднань для віддаленої та гібридної роботи може зменшити поверхню атаки, на яку покладаються злочинці для початкового закріплення. Навчання співробітників розпізнавати фішингові спроби, які залишаються провідним методом доставляння шкідливого програмного забезпечення, завершує багаторівневу стратегію захисту, що не залежить від сподівання, що атакувальники дотримають слова.

Що це означає для вас

Для малого та середнього бізнесу зокрема це дослідження має змінити планування реагування на інциденти. Якщо ваша організація колись постраждає від програми-вимагача, рішення платити не слід розглядати як чисту стратегію виходу. Бюджетуйте та плануйте з урахуванням того, що оплата може купити лише тимчасовий передих, а не постійне вирішення. Це означає наявність задокументованого плану реагування на інциденти, заздалегідь підготовлені юридичні та регуляторні рекомендації та тверезе розуміння того, що сплата може запросити подальші атаки, а не завершити їх.

Для окремих осіб і віддалених працівників висновок більш особистий: слабкі місця, якими користуються зловмисники, — від невстановлених оновлень програм до незахищених з’єднань, — часто можна попередити базовою гігієною, а не дорогими інструментами.

Ключові висновки

  • Згідно з новим дослідженням, половина сінгапурських організацій, які постраждали від атак з вимаганням, заплатили своїм атакувальникам.
  • Значна частка жертв програм-вимагачів, які заплатили, все одно отримала другу вимогу викупу, що повторює подібні результати в усьому світі.
  • Оплату слід розглядати як крайній захід, а не як гарантоване вирішення активної атаки.
  • Надійні резервні копії, безпечний віддалений доступ та обізнаність щодо фішингу зменшують шанси взагалі опинитися перед таким рішенням.
  • Організації повинні планувати реагування на інцидент, виходячи з того, що атакувальники можуть повернутися, а не з припущення, що оплата припиняє загрозу.

Зрештою, це дослідження є закликом перенести фокус із реактивних рішень про оплату на проактивне запобігання. Компанії, які найкраще підготовлені пережити атаку програми-вимагача, — це ті, яким ніколи не доведеться вирішувати, чи вартий ризик сплати.