Ransomware pozostaje najpoważniejszym zagrożeniem, a cyberprzestępcy przez cały czas inwestują znaczne środki w nowe techniki ataków. W ciągu ostatnich sześciu miesięcy FortiGuard Labs w raporcie Global Threat Landscape zaobserwowało łącznie 10 666 wariantów ransomware, w porównaniu z zaledwie 5 400 w poprzednim półroczu (wzrost w ciągu pół roku o prawie 100%). Ransomware-as-Service (RaaS), czyli usługowy model dystrybucji tego rodzaju zagrożenia w darkwebie, także zyskuje popularność wśród cyberprzestępców, co powoduje, iż firmy powinny rozważyć skorzystanie z ubezpieczenia od ataku ransomware. Dodatkowo niemal wszystkie ataki (94%) wykorzystujące oprogramowanie ransomware obejmują próby zniszczenia kopii zapasowych – wynika z Ransomware Trends Report 2022 firmy Veeam. W 7 na 10 przypadków przestępcom udaje się to przynajmniej częściowo. Aż 76% firm przyznaje, iż zapłaciły okup. Jednak co czwarte przedsiębiorstwo mimo spełnienia żądań przestępców nie było w stanie odzyskać zasobów.
Najważniejsze wnioski z raportu Global Threat Landscape
- Istnieje coraz większa liczba wariantów systemu ransomware, udostępnianych głównie w modelu Ransomware-as-a-Service (RaaS).
- Celem cyberprzestępców pozostają urządzenia końcowe wykorzystywane do zdalnej pracy z dowolnego miejsca.
- Obserwowany jest trend dotyczący nieustannej ewolucji zagrożeń o charakterze destrukcyjnym, czego dowodem jest rozpowszechnienie złośliwego systemu usuwającego dane (wiper) jako jednego z narzędzi atakujących.
- Cyberprzestępcy stosują coraz więcej technik rozpoznawczych oraz uniemożliwiających wykrycie przez rozwiązania ochronne, aby zwiększyć precyzję uderzenia i destrukcyjność złośliwego kodu w całym łańcuchu cyberataku.
Poddane cyfrowej konwergencji środowiska IT i OT oraz urządzenia końcowe wykorzystywane do pracy z dowolnego miejsca pozostają kluczowymi wektorami ataków, ponieważ cyberprzestępcy przez cały czas szukają możliwości rozszerzenia zakresu ataku. Działanie wielu exploitów wykorzystujących podatności w urządzeniach końcowych polega na uzyskaniu dostępu do systemu IT jako nieautoryzowani użytkownicy, a następnie ich celem jest wykorzystanie ruchu bocznego (lateral movement) do przedostania się w głąb sieci korporacyjnej. Przykładem może być wykorzystywana na masową skalę luka CVE 2022-26925, jak też luka umożliwiająca zdalne wykonanie kodu (CVE 2022-26937). Liczba wykrytych zagrożeń wykorzystujących luki w urządzeniach końcowych ujawnia też podejmowane przez cyberprzestępców nieprzerwane działania, w trakcie których próbują oni uzyskać dostęp do systemów IT zarówno poprzez stare, jak i nowe luki.
Niszczenie backupu najważniejsze dla udanego ataku
Mimo rosnącej świadomości dotyczącej ransomware i coraz większej czujności zespołów IT, złośliwe oprogramowanie wciąż najczęściej przedostaje się do firmowych systemów przez błędy użytkowników: phishing, złośliwe linki lub zainfekowane strony internetowe – potwierdziło to 46% badanych firm z regionu EMEA. Wielu zdarzeń można więc uniknąć.
W niemal wszystkich przypadkach atakujący za cel obierali repozytoria kopii zapasowych, aby zwiększyć presję i uniemożliwić ofierze odzyskanie danych bez zapłacenia okupu.
Jak wskazuje raport, w 30% przypadków przestępcom udało się uszkodzić znaczącą większość lub wszystkie repozytoria kopii zapasowej, a 38% ofiar przyznało, iż część ich repozytoriów została bezpowrotnie utracona. Przeszło jedna czwarta prób przestępców zakończyła się niepowodzeniem. Jedynie 6% ataków nie było wymierzonych w repozytoria backupu ofiary.
Pozbawienie firmy możliwości odzyskania danych jest częstą taktyką przestępców, ponieważ zwiększa prawdopodobieństwo, iż ofiara zapłaci okup. Jedynym sposobem zabezpieczenia się przed takim scenariuszem jest posiadanie co najmniej jednej kopii na niezmiennym nośniku lub odizolowanej od sieci (air-gapped). Zapobiega to modyfikacji lub zaszyfrowaniu danych. Informacje są najważniejsze dla działania każdej firmy – posiadanie niezmiennych kopii zapasowych umożliwia bezpieczne odzyskanie źródłowych zasobów. Niestety, lokalne realia pokazują, iż kilka firm w Polsce posiada takie bezpieczne kopie danych. Dlatego ataki ransomware mają dla nich bardzo poważne konsekwencje.
Ryzyko utraty danych
Większość badanych firm (76%) zapłaciła okup. Niestety, pozwoliło to na odzyskanie zasobów tylko połowie z nich. Jedna na cztery ofiary mimo wpłaty nie odzyskała swoich danych. Ryzyko, iż mimo zapłacenia okupu przez cały czas nie będzie dostępu do danych wynosi więc jeden do trzech. 19% firm nie zapłaciło przestępcom, a mimo to udało im się odzyskać dane w inny sposób. Do tego powinno dążyć pozostałe 81% ofiar ransomware.
Trzeba podkreślić, iż płacenie cyberprzestępcom za przywrócenie danych nie jest strategią ochrony zasobów. Nie ma gwarancji ich odzyskania, a ryzyko utraty reputacji i zaufania klientów jest bardzo wysokie. Co więcej, takie postępowanie dodatkowo napędza i nagradza działania przestępców.
Mimo wszechobecności ransomware, firmy nie są jednak wobec niego bezradne. Powinny przede wszystkim edukować pracowników i dbać o ich cyfrową higienę – to najważniejsze elementy nowoczesnej polityki ochrony danych. Ważne jest też regularne przeprowadzanie rygorystycznych testów rozwiązań i protokołów ochrony zasobów oraz tworzenie szczegółowych planów ciągłości działania oraz przywracania procesów, które przygotują głównych zainteresowanych na najgorsze scenariusze.
Większość ataków wykorzystuje znane luki
W 80% udanych ataków ransomware przestępcy wykorzystali znane luki w zabezpieczeniach, w tym w popularnych systemach operacyjnych i hypervisorach, a także w platformach NAS i serwerach baz danych. Potwierdza to konieczność aktualizowania oprogramowania.
Najczęściej szyfrowane były platformy w zdalnych biurach (49% przypadków). W 48% atak objął też serwery w firmowych centrach danych, a w 46% – chmurę. Znacznie wyższy wskaźnik ataków raportowano wśród specjalistów ds. bezpieczeństwa i administratorów kopii zapasowych niż wśród dyrektorów ds. IT lub CISO. Wskazuje to, iż osoby będące bliżej problemu dostrzegają więcej zagrożeń.
Nie należy zapominać, iż cyberataki to duże zagrożenie dla ciągłości biznesowej firm. Dlatego powinny one zapewnić sobie zdolność do identyfikacji, łagodzenia i usuwania skutków ataków ransomware. Ochrona ciągłości działania przedsiębiorstwa to obowiązek każdego pracownika, nie tylko kierownictwa firmy. Bezpieczna i możliwa do odzyskania kopia zapasowa jest ostatnią linią obrony przed ransomware. Pozwala zminimalizować przestoje w pracy i zapobiec utracie danych, dzięki czemu firma nie musi płacić kosztownego okupu.
