Proofpoint：印度71%的勒索软件攻击涉及数据窃取

Proofpoint印度勒索软件数据到底说明了什么

安全公司Proofpoint的一份新报告为印度面临勒索软件的组织描绘了一幅令人不安的画面。数据显示，62%受影响的印度企业表示最近一次攻击造成的总体影响比以往更大，这表明即便意识和防御投入不断增加，这类事件造成的损害不降反升。或许最值得关注的是，印度勒索软件数据窃取勒索已从例外变为常态：在Proofpoint调查的事件中，有71%确认发生了数据窃取。

这个统计数字重新定义了仍有许多组织单纯视为勒索软件问题的现象。攻击不再只是加密文件和留下勒索信那么简单。在绝大多数调查案例中，攻击者在锁定系统前已经将敏感数据外泄，即便受害者的备份足够可靠，无需为解密密钥付钱，他们手中仍握着第二重施压筹码。

为什么支付赎金无法阻止反复勒索

尽管执法部门和网络安全专家普遍建议不要支付勒索软件赎金，但仍有64%的受影响的印度组织选择了支付。这种冲动可以理解：支付感觉上是恢复正常运营的最快途径。但Proofpoint的发现表明，这种直觉正越来越站不住脚。在付费的组织中，近一半（48%）随后又面临新的勒索要求。

这种模式并非印度独有，它在全球范围内与Proofpoint记录的情况一致：支付赎金者往往会再次遭袭，支付赎金与其说是解决问题，不如说是向攻击者传递了目标愿意谈判的信号。Proofpoint的另一些研究还发现，22%的赎金支付者会面临反复勒索，而其他数据则显示大约每三名赎金支付者中就会有一人再次遭袭。印度48%的重复勒索数字处于这一区间的高位，表明当地组织可能正面对同一种全球趋势、但程度更为严重。

71%的数据窃取率：攻击者在加密之前偷走了什么

攻击者之所以能如此有效地反复勒索，原因很简单：一旦数据被盗，加密几乎变得无关紧要。如果71%的事件中已经确认存在数据窃取，那么为解密密钥付费根本无法解决攻击者基础设施上那份敏感文件副本的问题。这些数据可以被出售、泄露，或用作第二次、第三次勒索的新筹码，这也有助于解释为什么许多第一次支付过的组织最终又再次付款，或即使了结了第一次仍然面临新的威胁。

这正是现代勒索软件与过往文件锁定攻击的核心分水岭。加密会短期干扰业务运行，而数据窃取则造成单次付款无法解决的长尾法律责任。对于处理客户记录、财务信息或专有业务数据的组织来说，即便系统重新上线，数据曝险也不会因此消失。

降低风险：网络分段、备份和访问控制

应对这一转变的实际做法，必须跳出单纯决定是否支付赎金的框架。以下几项具体措施比以往任何时候都更重要：

网络分段可限制攻击者在内部横向移动的范围，降低单个失陷账户导致全组织数据暴露的几率。
离线且经过验证的备份对于从加密中恢复依然必不可少，但它们无法解决数据窃取问题，因此需要同时监控异常的出站数据传输。
严格的访问控制和最小权限原则可减少单一遭窃凭据所能触达的敏感数据量。
事件响应预案应假定数据已被复制，而不仅仅是系统可能被锁定，并应包含一旦确认数据暴露即面向客户和监管机构的沟通计划。

基于这些原则构建防御的组织，出发点就是承认仅靠预防不可能永远成功，而在入侵发生后的范围控制与最初将攻击者拒之门外同样关键。

这对你意味着什么

如果你的组织在印度运营，或处理与印度客户、合作伙伴相关的数据，这份报告是一个信号，提醒你带着一个特定问题重新审视事件响应预案：当我们发现数据已被窃取，而不仅仅是文件被加密后，接下来会发生什么？把勒索软件纯粹看作可用性问题，认为靠备份和可能的付款就能解决，已经不再符合这些攻击的实际展开方式。Proofpoint数据中所描述的印度勒索软件数据窃取勒索模式表明，加密那一刻往往只是一场更长战役中的一个阶段。