FBI、CISA 及欧盟机构发布的联合警告使 SafePay 勒索软件组织成为关注焦点，美国、英国和德国被列为该组织全球行动的目标。对日常用户和小型企业而言，关键细节在于：攻击者会针对备份下手。这使得 SafePay 勒索软件备份保护成为一个比简单拥有文件第二份副本更大的问题。
源文章较为简短，因此本文重点关注该警告所释放的信号以及你可以采取的实际措施。在我们描述典型攻击者行为的地方，它反映的是关于 SafePay 的公开报道以及常见勒索软件做法。
SafePay 勒索软件做什么，以及谁是被攻击目标
SafePay 是一个勒索软件组织，意味着它会闯入网络、锁定数据，并要求付款以恢复访问。公开威胁报告将其描述为双重勒索行动：攻击者在加密数据之前先将数据从受害者系统中复制出去，然后要求以加密货币付款。威胁既包括失去访问权限，也包括敏感文件被泄露。
联合警告描述的是一场全球行动，参与机构遍布美国、英国和德国。勒索软件组织很少只局限于大型企业。小型企业、诊所、学校和地方办公室往往拥有有价值的数据，但防御较薄弱，这使它们具有吸引力。在家中或家庭办公室拥有网络存储设备的个人也可能面临风险。
关于 SafePay 的公开报道称，其操作者通常通过窃取或猜测密码以及利用安全系统中的漏洞进入。这些都不算离奇，也正是为什么基础措施如此重要。
为什么攻击者先针对备份下手
备份是安全网。如果受害者可以从干净副本恢复，赎金要求就失去了大部分筹码。因此，了解这一点的攻击者会试图在发动攻击前先移除安全网。先删除、加密或破坏备份，意味着当勒索信出现时，恢复选项已经不存在了。
这是值得吸收的转变。许多人认为备份只是某种存在的东西。在实践中，如果你的备份可从主网络访问、使用相同的登录凭据，那么任何获得该访问权限的人都能找到并摧毁它。永久插在电脑上的硬盘中的副本，或自动同步的云文件夹，可能会与其他所有内容一起被加密。
如何保护备份：离线副本、不可变性和加密
良好的 SafePay 勒索软件备份保护始于假设攻击者最终会访问你的主要系统，然后确保你的备份能在这种情况下幸存。有三个思路有帮助：
- 保留离线或隔离副本。 每次备份后断开连接的外置硬盘无法被远程加密。对企业而言，这意味着副本不能从生产网络持续可达。
- 使用不可变备份。 不可变性意味着备份在设定时间段内无法被更改或删除，即使是管理员账户也不行。许多备份工具和云存储服务将此作为一项设置提供。如果攻击者窃取了管理员凭据，被锁定的副本仍保持完整。
- 加密你的备份。 加密不会阻止攻击者删除数据，但如果副本被盗，它可以保护内容。这在双重勒索案例中很重要，因为泄露数据是施压的一部分。
两个辅助习惯同样重要。为备份系统使用单独凭据，最好启用多因素认证保护，这样被盗的日常密码就无法解锁它们。并定期测试恢复。一个你从未恢复过的备份只是假设，不是计划。
阻止初始入侵的基本防御
保护备份是最后一道防线。更好的结果是阻止攻击者进入。由于报道指向被盗或猜测的密码以及被利用的漏洞，最有用的防御往往是那些不起眼的措施：
- 启用多因素认证，用于电子邮件、远程访问、云账户和备份控制台。
- 使用强大且唯一的密码，存储在密码管理器中，这样一组泄露的凭据不会打开多扇门。
- 及时打补丁，尤其是面向互联网的系统，如防火墙、远程访问工具和备份软件。未修补的已知漏洞是常见的入侵途径。
- 限制远程访问。 关闭你不使用的服务，并限制谁可以访问其余服务。
VPN 可以帮助保护到工作网络的远程连接，但它不能替代打补丁和 MFA，也不能单独保护备份。
这对你意味着什么
这一警告的国际性质值得注意。各国政府在网络威胁方面跨境合作并不新鲜；诸如五眼联盟和更广泛的十四眼联盟等联盟以情报共享著称，尽管这些安排涉及监控数据，与这份勒索软件公告是两回事。对读者而言，结论更简单：当多个机构发布共同警告时，威胁是广泛的，并不限于某一地区或行业。
对个人而言，这意味着检查你的备份是否真正与电脑分离。对小型企业而言，这意味着询问谁可以删除你的备份，以及该账户是否受 MFA 保护。
可执行的要点
SafePay 勒索软件备份保护归结为你可以本周完成的一项简短审计：
- 检查你的备份设置。 你是否至少有一份离线或不可变的副本？
- 分离凭据。 确保备份访问使用与日常账户不同的登录信息。
- 在所有提供的地方开启 MFA，从电子邮件、远程访问和备份工具开始。
- 安装待处理的更新，优先处理防火墙、远程访问软件和备份应用程序。
- 测试恢复几个文件，以确认备份确实有效。
这些步骤都不复杂，它们合在一起可以剥夺勒索软件组织所依赖的筹码。今天就从审计开始吧。
