据报道，勒索软件攻击增加了近50%，而小企业承受了大部分损失。让这一趋势更难应对的是攻击战术的转变。勒索软件数据窃取勒索小企业案件越来越多地涉及根本不加密任何文件的攻击者。他们窃取数据，然后威胁要公开或出售数据，除非受害者付钱。
来源文章引用NordLayer来描述这一转变：越来越多的勒索团伙跳过加密，直接窃取数据，然后威胁受害者。我们所能获得的全文较为简短，因此本文仅围绕这些要点以及广为人知的安全实践展开，而不添加我们无法核实的数字。
为什么备份不再能阻止勒索
经典的勒索软件攻击会锁住你的文件，然后向你出售密钥。良好的备份曾是解决方案：恢复系统，继续前行。这一建议仍然重要，但它只解决了现代问题的一半。
当攻击者窃取数据而非加密数据时，你这边并没有任何东西被破坏。你的系统可能正常运行。杠杆来自犯罪分子现在掌握的东西：客户记录、员工信息、合同、财务细节。从备份恢复并不能把那份副本从他们手中拿走。
这就是为什么在这些案例中，勒索信围绕的是数据暴露而非停机时间。威胁在于你的客户、合作伙伴或监管机构会得知哪些数据被窃取。备份保护的是可用性，而不是机密性。
为什么小企业首当其冲
文章称小企业承受了大部分增长。虽然我们无法从来源文本中独立分析原因，但安全界普遍认可几个常见因素：
- 专职安全人员较少。 许多小企业依赖一名IT通才或外部服务提供商。
- 扁平网络和共享访问权限。 在较小环境中，一个被攻陷的账户往往可以访问大量数据。
- 快速付款的压力。 一家无法运转的工厂，或一家担心数据泄露的诊所，可能觉得自己承受不起漫长的恢复过程。
数据窃取勒索也降低了攻击者的投入。跳过加密意味着更少的步骤和更少的动静，这可能使入侵在勒索要求到来之前更难被发现。
限制窃贼能拿走什么的防御措施
如果目标是减少可被窃取的内容，防御重点就从单纯的恢复转向对数据的控制。实际步骤包括：
- 了解你存储了什么。 盘点客户、员工和财务数据，删除不再需要的数据。你不持有的数据就不会被泄露。
- 限制访问权限。 只给每个人其工作所需的访问权限，并在人员离职时移除账户。
- 使用多因素认证。 被盗密码是常见的入侵途径，而第二因素提高了门槛。
- 对网络进行分段。 将敏感系统隔离开来，使一次入侵不会暴露所有内容。
- 对静态敏感数据加密。 被正确加密的失窃文件对窃贼来说远没有那么有用。
- 监控异常传输。 大量或异常的出站数据流动可能是早期预警信号。
- 仍然保留经过测试的离线备份。 加密攻击并未消失，团伙也可能同时使用两种方法。
- 准备事件响应计划。 在压力到来之前，提前决定该联系谁，包括法律顾问和你的IT提供商。
要了解大型勒索软件行动如何从入侵推进到勒索，覆盖95个国家2000名受害者的LockBit 3.0分析描绘了完整的攻击链，并展示了防御者可以在哪些环节进行阻断。
VPN的适用之处与不适用之处
VPN可以成为小企业配置中的有用组成部分，但它不是勒索软件的解药。其主要价值在于保护远程员工与公司资源之间的流量，尤其是在公共或不可信网络上，并限制内部服务暴露于开放互联网的程度。
VPN做不到的是阻止钓鱼攻击、修复未打补丁的软件，或防止拥有有效凭证的员工被骗交出凭证。如果攻击者用窃取的凭证登录，VPN甚至可能为他们提供一条便捷的内部通道。它也不会加密你服务器上的文件，也不会监视数据离开你的网络。
把VPN看作多层防御中的一层。它最好与强认证、补丁管理、访问控制和监控配合使用。
这对你意味着什么
如果你经营或供职于一家小企业，请假设仅有备份已不再足够。要问的问题不仅是“我们能恢复吗？”，还有“有人能窃取什么，如果他们公开了会怎样？”
小团队不需要企业级预算来改善自身处境。减少你保留的敏感数据量、收紧谁可以访问这些数据、开启多因素认证，这些措施正好针对勒索团伙所利用的杠杆。把任何VPN视为辅助工具，而非计划本身。
关键要点
- 据报道勒索软件攻击增加了近50%，小企业受创最重。
- 更多团伙窃取数据而不加密，因此仅靠备份无法解决勒索要求。
- 通过最小化存储数据、限制访问和加密剩余数据来限制暴露面。
- 将VPN作为一层防御，而非其他措施的替代品。
本周，审计你的企业存储了哪些数据以及谁可以访问。然后阅读我们的LockBit 3.0勒索软件解析，了解大型团伙如何运作，看看这些攻击在实践中如何展开，以及你的勒索软件数据窃取勒索小企业防御应在哪些方面最为强化。
