Z ransomware warto być mądrym przed szkodą

W Polsce nadal obowiązuje trzeci stopień alertu CRP Charlie, który wprowadzany jest w przypadku wystąpienia zdarzenia potwierdzającego prawdopodobny atak o charakterze terrorystycznym w cyberprzestrzeni lub uzyskania wiarygodnych informacji o planach realizacji tego rodzaju zdarzenia. Polska należy do krajów najbardziej atakowanych – wynika z raportu CyberPeace Institute, szwajcarskiego think tanku.

W krajach europejskich nawet 80 proc. wszystkich ataków ransomware uderza w małe i średnie przedsiębiorstwa. Dlaczego mniejsze firmy skupiają na sobie uwagę cyberprzestępców? Bo z reguły brakuje im dostatecznych zabezpieczeń i panuje w nich niefrasobliwe przekonanie, że hakerzy skupiają ataki na dużych firmach, a nimi się nie interesują i nie zainteresują.

Jednak przemyślany atak na mniejsze firmy przynosi hakerom więcej korzyści niż zmaganie się z systemami zabezpieczeń, które wdrożono dla ochrony dużych spółek. Dlatego w pierwszym półroczu 2023 r. średnio ponad 1 tys. różnego typu cyberataków uderzało właśnie w firmy z sektora MŚP. Ataki, podczas których cyberprzestępcy blokują dane, żądając okupu za ich odszyfrowanie lub szantażując ich ujawnieniem, są w ostatnich latach zmorą biznesu – należą do największych zagrożeń dla firm zarówno dużych, jak i mniejszych.

– Atak ransomware to dla cyberprzestępców sytuacja win-win. Jeżeli zaatakowana firma zdecyduje się opłacić okup, wygrali, ponieważ uzyskali znaczną sumę pieniędzy. Jeżeli organizacja nie zapłaci przestępcom, wtedy prawdopodobnie jej dane zostaną sprzedane w darknecie, co również przyniesie korzyść finansową przestępcom – tłumaczy Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

Szantaż i okup

Ataki typu ransomware zdarzają się bardzo często, ale informacje o istotnej ich części nie są upubliczniane. Wiele firm czy instytucji nie przyznaje się do bycia ofiarami cyberprzestępców, zwłaszcza gdy zdecydowały się opłacić okup. W 2023 r. na celowniku cyberprzestępców znalazły się m.in. FEMSA – największa na świecie franczyzowa rozlewnia Coca-Coli, Sony czy Royal Mail. W Polsce zaatakowany został m.in. system Śląskiej Karty Usług Publicznych.

W ostatnich latach rośnie wyrafinowanie ataków ransomware, a w konsekwencji ich skuteczność. Wspomniana FEMSA, która padła ofiarą cyberataku w ostatnich tygodniach, zdecydowała się zapłacić okup, by odzyskać dane, które hakerzy zaszyfrowali. Informacja o tym była szeroko komentowana. Debatujący przedsiębiorcy pytali, czy uleganie szantażowi cyberprzestępców i przekazywanie im żądanej zapłaty to właściwy sposób postępowania. Wszyscy zastanawiali się, jak ochronić firmę przed atakami ransomware.

Cyberprzestępcy mogą dokonać ataku ransomware zarówno na pojedyncze urządzenia osobiste, takie jak komputery i smartfony, jak i na dane przetwarzane w sieciach firm. Atak bowiem rozprzestrzenia się na różne sposoby, np. przez e-maile. Okazję do ataku dają przestępcom również niezaktualizowane systemy. Dlaczego? Bo bardzo często poprawki wprowadzane przez firmy są związane właśnie z bezpieczeństwem.

– Moment, w którym widzimy powiadomienie o koniecznej aktualizacji, ale lekceważymy je, klikając przycisk „przypomnij mi później”, jest krytyczny, bo może być otwarciem drzwi cyberprzestępcom – ostrzega Kamil Sadkowski.

Przestępcy monitorują bowiem publicznie ogłaszane, dopiero odkryte luki w zabezpieczeniach i natychmiast analizują, czy dopóki nie zostaną one usunięte, mogą im posłużyć jako bramy do ataku. Jeśli tak, hakerzy zaczynają skanować dane dostępne w internecie w poszukiwaniu podatnych systemów i próbują zidentyfikować firmy, które z nich korzystają. Z tej puli wybierają cele, od których mają największą szansę uzyskać okup. Następnie włamują się do wybranych sieci, kradną lub szyfrują dane i wymuszają opłaty.

Zasilanie procederu

O popularności ataków ransomware może świadczyć to, że zostały przekształcone – mimo kolizji z prawem i organami ścigania – w usługę biznesową. RaaS, czyli ransomware as a service, stał się modelem biznesowym cyberprzestępców, który łączy we współpracy różne ośrodki hakerskie. Jedne piszą oprogramowanie, inne wykorzystują je, realizując płatne zlecenia na przeprowadzanie ataków przy jego użyciu. RaaS jest podobny do modelu innych usług chmurowych, np. oprogramowania jako usługi (SaaS), ale zamiast oferować legalne usługi, proponuje ransomware.

Oprogramowanie RaaS ułatwia aktywność hakerską nawet takim cyberprzestępcom, którzy nie mają żadnych umiejętności technicznych. Sprawia ponadto, że ataki są bardziej opłacalne niż przy wykorzystaniu własnych umiejętności – można bowiem zarobić na nich bez konieczności inwestowania w rozwój własnego oprogramowania.

Ataki ransomware są już tak zaawansowane, że wiele firm decyduje się płacić okup – w przypadku spółki FEMSA hakerzy zażądali 12 mln USD, jednak po negocjacjach odszyfrowali część kluczowych danych za 1,5 mln USD. Inaczej zachowała się brytyjska poczta. Royal Mail odrzuciła szantaż i nie zapłaciła hakerom, co jednak doprowadziło do opublikowania skradzionych danych.

Jak wynika z badań przeprowadzanych przez dostawców rozwiązań zabezpieczających przed cyberatakami, około 80 proc. zaatakowanych firm decyduje się zapłacić przestępcom. Jednak 21 proc. organizacji, które wpłaciły żądany okup, aby odzyskać i uchronić swoje dane, poniosło straty dwukrotnie, ponieważ hakerzy i tak opublikowali dane firmy.

– Ataki ransomware przeprowadzają przestępcy, czyli osoby, które nagminnie i celowo łamią zasady. Czasami wydaje się, że przekazanie im opłaty to jedyny sposób uniknięcia dużego kryzysu lub strat biznesowych o wartości przewyższającej żądaną sumę okupu. Jednak nikt nie może zagwarantować, że po wpłaceniu okupu otrzymamy z powrotem dostęp do danych, a one same nie zostaną sprzedane lub opublikowane. Co więcej, opłacając okup, firma przyczynia się do rozwoju cyberprzestępczości, ponieważ zasila finansowo cyberprzestępczy proceder – komentuje Kamil Sadkowski.

Profilaktyka popłaca

Zdarza się, że okup jest płacony hakerom z polisy ubezpieczeniowej. Po wystąpieniu takiej sytuacji większość ubezpieczycieli podnosi firmom składki. Ransomware jest tak kosztownym ciosem w biznes, że coraz większa liczba ubezpieczycieli wyłączyła już ze swoich pakietów ochronnych opcję ubezpieczenia na wypadek takiego ataku. W tym kontekście najbardziej opłacalna jest profilaktyka, czyli taka ochrona firmowych zasobów, by zmniejszyć do minimum ryzyko ataku. Lepiej zapobiegać, niż leczyć.

– Warto na bieżąco dbać o zabezpieczenia w firmie. Najistotniejsze są tu właśnie aktualizacje zarówno programów zabezpieczających, jak i wszystkich innych systemów użytkowanych w firmie. To właśnie na tego rodzaju luki bezpieczeństwa czyhają przestępcy i są zdolni szybko je wykorzystać – dodaje Kamil Sadkowski.

Wielowarstwowe rozwiązania zabezpieczające mogą stosunkowo szybko wykryć atak i go zablokować. Technologia ESET wykorzystuje w tym celu zaawansowane uczenie maszynowe, chroniąc setki tysięcy firm oraz organizacji na całym świecie.

Jednak zabezpieczenia techniczne to jeden z dwóch niezbędnych elementów cyberochrony. Musi im towarzyszyć poprawa świadomości pracowników, a tę można zapewnić jedynie w drodze edukacji i szkoleń podnoszących poziom wiedzy o zagrożeniach i sposobach przeciwdziałania atakom.

Kluczową rolę odgrywa też bieżące tworzenie kopii zapasowych danych, bo umożliwia ich odzyskiwanie po ewentualnej awarii czy ataku.

– W celu zminimalizowania ryzyka ataku ransomware nie warto poprzestawać na działaniach połowicznych. Najlepszą ochronę da kompleksowe podejście do cyberbezpieczeństwa i proaktywne działania w tym zakresie oraz traktowanie go jako nierozłącznego elementu rozwoju biznesu – podkreśla ekspert ESET.