Niszczenie backupu kluczowe dla udanego ataku

Mimo rosnącej świadomości dotyczącej ransomware i coraz większej czujności zespołów IT, złośliwe oprogramowanie wciąż najczęściej przedostaje się do firmowych systemów przez błędy użytkowników: phishing, złośliwe linki lub zainfekowane strony internetowe – potwierdziło to 46% badanych firm z regionu EMEA. Wielu zdarzeń można więc uniknąć. 

W niemal wszystkich przypadkach atakujący za cel obierali repozytoria kopii zapasowych, aby zwiększyć presję i uniemożliwić ofierze odzyskanie danych bez zapłacenia okupu. Jak wskazuje raport, w 30% przypadków przestępcom udało się uszkodzić znaczącą większość lub wszystkie repozytoria kopii zapasowej, a 38% ofiar przyznało, że część ich repozytoriów została bezpowrotnie utracona. Przeszło jedna czwarta prób przestępców zakończyła się niepowodzeniem. Jedynie 6% ataków nie było wymierzonych w repozytoria backupu ofiary. 

Pozbawienie firmy możliwości odzyskania danych jest częstą taktyką przestępców, ponieważ zwiększa prawdopodobieństwo, że ofiara zapłaci okup. Jedynym sposobem zabezpieczenia się przed takim scenariuszem jest posiadanie co najmniej jednej kopii na niezmiennym nośniku lub odizolowanej od sieci (air-gapped). Zapobiega to modyfikacji lub zaszyfrowaniu danych. Informacje są kluczowe dla działania każdej firmy – posiadanie niezmiennych kopii zapasowych umożliwia bezpieczne odzyskanie źródłowych zasobów. Niestety, lokalne realia pokazują, że niewiele firm w Polsce posiada takie bezpieczne kopie danych. Dlatego ataki ransomware mają dla nich bardzo poważne konsekwencje.

Ryzyko utraty danych jak 1 do 3

Większość badanych firm (76%) zapłaciła okup. Niestety, pozwoliło to na odzyskanie zasobów tylko połowie z nich. Jedna na cztery ofiary mimo wpłaty nie odzyskała swoich danych. Ryzyko, że mimo zapłacenia okupu nadal nie będzie dostępu do danych wynosi więc jeden do trzech. 19% firm nie zapłaciło przestępcom, a mimo to udało im się odzyskać dane w inny sposób. Do tego powinno dążyć pozostałe 81% ofiar ransomware. 

Trzeba podkreślić, że płacenie cyberprzestępcom za przywrócenie danych nie jest strategią ochrony zasobów. Nie ma gwarancji ich odzyskania, a ryzyko utraty reputacji i zaufania klientów jest bardzo wysokie. Co więcej, takie postępowanie dodatkowo napędza i nagradza działania przestępców. 

Mimo wszechobecności ransomware, firmy nie są jednak wobec niego bezradne. Powinny przede wszystkim edukować pracowników i dbać o ich cyfrową higienę – to kluczowe elementy nowoczesnej polityki ochrony danych. Ważne jest też regularne przeprowadzanie rygorystycznych testów rozwiązań i protokołów ochrony zasobów oraz tworzenie szczegółowych planów ciągłości działania oraz przywracania procesów, które przygotują głównych zainteresowanych na najgorsze scenariusze. 

Większość ataków wykorzystuje znane luki

W 80% udanych ataków ransomware przestępcy wykorzystali znane luki w zabezpieczeniach, w tym w popularnych systemach operacyjnych i hypervisorach, a także w platformach NAS i serwerach baz danych. Potwierdza to konieczność aktualizowania oprogramowania. Najczęściej szyfrowane były platformy w zdalnych biurach (49% przypadków). W 48% atak objął też serwery w firmowych centrach danych, a w 46% – chmurę. Znacznie wyższy wskaźnik ataków raportowano wśród specjalistów ds. bezpieczeństwa i administratorów kopii zapasowych niż wśród dyrektorów ds. IT lub CISO. Wskazuje to, że osoby będące bliżej problemu dostrzegają więcej zagrożeń. 

Nie należy zapominać, że cyberataki to duże zagrożenie dla ciągłości biznesowej firm. Dlatego powinny one zapewnić sobie zdolność do identyfikacji, łagodzenia i usuwania skutków ataków ransomware. Ochrona ciągłości działania przedsiębiorstwa to obowiązek każdego pracownika, nie tylko kierownictwa firmy. Bezpieczna i możliwa do odzyskania kopia zapasowa jest ostatnią linią obrony przed ransomware. Pozwala zminimalizować przestoje w pracy i zapobiec utracie danych, dzięki czemu firma nie musi płacić kosztownego okupu.

Andrzej Niziołek, Veeam

O badaniu:

W styczniu 2022 r. niezależna firma badawcza na zlecenie firmy Veeam przeprowadziła ankietę wśród 1000 neutralnych liderów IT na temat wpływu ransomware na ich środowiska, a także stosowanych przez nich metod korygowania oraz strategii na przyszłość. Respondenci należeli do jednej z czterech grup: CISO, specjaliści ds. zabezpieczeń, administratorzy kopii zapasowych i specjaliści ds. operacji IT. Osoby te reprezentowały przedsiębiorstwa każdej wielkości z 16 krajów z APJ, EMEA oraz obu Ameryk.