Trzy lata po WannaCry – czy ransomware nadal jest groźny?

Trzy lata po globalnym kryzysie wywołanym przez atak WannaCry okazuje się, że narzędzia do wymuszania okupów są wciąż skuteczne i często wykorzystywane przez cyberprzestępców – zwłaszcza w obecnej sytuacji, gdy pracownicy zdalni często pracują na niewłaściwie zabezpieczonych urządzeniach.

Cyberprzestępcy w ofensywie

Uwaga całego świata od kilku tygodni koncentruje się na pandemii COVID-19. Firmy dostosowują się do nowych realiów i przenoszą pracowników w tryb pracy zdalnej.

Mogły nie mieć więc odpowiednio wiele czasu, aby właściwie zadbać o bezpieczeństwo danych. Cyberprzestępcy o tym wiedzą i wciąż sondują środowiska sieciowe pod kątem luk w zabezpieczeniach, które mogą posłużyć jako brama wejścia do sieci firmy.

Specjaliści z FortiGuard Labs firmy Fortinet zaobserwowali w ostatnich tygodniach znaczny wzrost liczby ataków phishingowych wymierzonych w osoby fizyczne oraz nowo powstałych złośliwych stron internetowych.

Oto co analitycy z FortiGuard Labs – Derek Manky, Aamir Lakhani i Douglas Santos – sądzą na temat obecnej sytuacji związanej z oprogramowaniem szyfrującym.

Czy ransomware jest dzisiaj wciąż jednym z najpoważniejszych zagrożeń?

Derek Manky: Ataki wymuszające okup wciąż spędzają sen z powiek specjalistom ds. bezpieczeństwa. Dynamika występowania tego oprogramowania nie wykazuje żadnych oznak spowolnienia.

Natomiast jeśli mówimy o obronie przed nim, narzędzia ochronne są tak skuteczne, jak zespół, który nimi zarządza. Wszystko, począwszy od błędów w konfiguracji rozwiązań zabezpieczających, a skończywszy na zbyt szybkim rozroście środowiska, w którym są wdrożone, może osłabić skuteczność ochrony. Ale w przypadku ransomware’u największy problem nadal stanowi czynnik ludzki.

Aamir Lakhani: Istnieją zagrożenia, które są bardziej powszechne niż ransomware. Jednak to właśnie ten rodzaj ataku jest jednym z najgroźniejszych z uwagi na konsekwencje dla przedsiębiorstw, jakie niesie ze sobą – może je całkowicie sparaliżować.

W rzeczywistości ransomware nie jest skomplikowanym ani wyrafinowanym oprogramowaniem. Natomiast, paradoksalnie, może to uczynić je jeszcze bardziej niebezpiecznym, ponieważ stosujący je przestępcy nie muszą posiadać rozległej wiedzy.

Zestawy narzędzi do przeprowadzenia ataku mogą być pobierane z internetu w modelu usługowym RaaS (Ransomware-as-a-Service) i modyfikowane nawet przez osobę z minimalną wiedzą programistyczną. Większość z nich nie jest realnym zagrożeniem dla dużych firm, ponieważ rozwiązania ochronne zdołają je wykryć i zablokować.

Jednak biorąc pod uwagę obecne uwarunkowania – wzrost liczby pracowników zdalnych, przepracowane zespoły IT i nowe, w dużej mierze niezweryfikowane wcześniej zasady bezpieczeństwa – przedsiębiorstwa stały się nagle znacznie bardziej podatne na atak.

Dlaczego cyberhigiena i „czynnik ludzki” nadal są ważne?

Derek Manky: Problemem nie jest brak świadomości – ona jest zakorzeniona w ludzkim zachowaniu. Natomiast świadomość i działanie to dwie bardzo różne rzeczy.

Cyberprzestępcy tworzą obecnie dobrze przygotowane e-maile, kierunkują ataki przeciwko konkretnym osobom w przedsiębiorstwie. Taki rodzaj ataku jest znany jako spear phishing, a celem bywa wysoko postawiona osoba w strukturach firmy. Dlatego też często działanie to nazywa się „phishingiem wielorybów”. Jednak, bez względu na to, kto jest celem ataku, każdy jest podatny na manipulacje z wykorzystaniem starannie spreparowanych wiadomości e-mail.

Douglas Santos: Kiedy mówimy o czynniku ludzkim, wskazujemy nie tylko te osoby naiwnie klikające na linki lub otwierające złośliwe dokumenty. Dotyczy to również kadry kierowniczej, która może nie rozumieć zagrożeń lub nie wie, jak je powstrzymać. Metody ataku rozwijane się znacznie szybciej, niż większość z nas jest w stanie je poznać. Systematycznie powiększa się także luka kompetencyjna, brakuje specjalistów do spraw cyberbezpieczeństwa. To trudne wyzwanie.

Jak ransomware będzie się rozwijał w 2020 roku?

Derek Manky: Należy spodziewać się większej liczby ukierunkowanych ataków – bardzo niebezpiecznych, ponieważ są specjalnie dostosowywane do określonych systemów wewnętrznych przedsiębiorstwa.

Innym czynnikiem wpływającym na rosnącą liczbę ataków ransomware jest dostępność narzędzi w modelu usługowym. W bieżącym roku obserwujemy też jak cyberprzestępcy wykorzystują do swoich celów pandemię COVID-19. Pokazuje to, że ewolucja oprogramowania ransomware nie polega wyłącznie na atakach celowych, ale bazuje też na nastrojach społecznych.

Aamir Lakhani: Będziemy świadkami znaczącego wzrostu liczby ataków ransomware. Pandemia COVID-19 wymusiła na przedsiębiorstwach wiele zmian. Dotyczą one m.in. migracji danych w chmurze, zasad udzielania zdalnego dostępu do zasobów i większego uzależnienia od aplikacji internetowych.

W sektorze IT wiele osób pracuje pod ogromną presją. Podobnie dzieje się w wielu innych branżach, które muszą utrzymać działanie swoich środowisk informatycznych – ochronie zdrowia, produkcji czy transporcie. Cyberprzestępcy rozumieją, że przedsiębiorstwa często wolą zapłacić okup, niż pozwolić sobie na spowolnienie działalności lub jej przestój.