Niemal wszystkie ataki (94 proc.) wykorzystujące oprogramowanie ransomware obejmują próby zniszczenia kopii zapasowych firmy – wynika z Ransomware Trends Report 2022, przygotowanego przez firmę Veeam. W 7 na 10 przypadków przestępcom udaje się to przynajmniej częściowo. 76 proc. firm przyznaje, że zapłaciły okup. Jednak co czwarte przedsiębiorstwo mimo spełnienia żądań przestępców nie było w stanie odzyskać zasobów.

46 proc. badanych firm z regionu EMEA wskazało na błędy użytkowników (phishing, złośliwe linki lub zainfekowane strony internetowe), jako najczęstsze przyczyny przedostawania się do złośliwego oprogramowania do firmowych systemów.

W niemal wszystkich przypadkach atakujący za cel obierali repozytoria kopii zapasowych, aby zwiększyć presję i uniemożliwić ofierze odzyskanie danych bez zapłacenia okupu. Jak wskazano w raporcie Veeam, w 30 proc. przypadków przestępcom udało się uszkodzić znaczącą większość lub wszystkie repozytoria kopii zapasowej, a 38 proc. ofiar przyznało, że część ich repozytoriów została bezpowrotnie utracona. Przeszło jedna czwarta prób przestępców zakończyła się niepowodzeniem. Jedynie 6 proc. ataków nie było wymierzonych w repozytoria backupu ofiary.

Pozbawienie firmy możliwości odzyskania danych jest częstą taktyką przestępców, ponieważ zwiększa prawdopodobieństwo, że ofiara zapłaci okup.

„Jedynym sposobem zabezpieczenia się przed utratą danych jest posiadanie co najmniej jednej kopii na niezmiennym nośniku lub odizolowanej od sieci (air-gapped). Zapobiega to modyfikacji lub zaszyfrowaniu danych. Posiadanie niezmiennych kopii zapasowych umożliwia bezpieczne odzyskanie źródłowych zasobów”, radzi Andrzej Niziołek, dyrektor regionalny na Europę Wschodnią w firmie Veeam. „Niestety, lokalne realia pokazują, że niewiele firm w Polsce posiada takie bezpieczne kopie danych. Dlatego ataki ransomware mają dla nich bardzo poważne konsekwencje”, dodaje.

Większość badanych firm (76 proc.) zapłaciła okup. Niestety, pozwoliło to na odzyskanie zasobów tylko połowie z nich. Jedna na cztery ofiary mimo wpłaty nie odzyskała swoich danych. Ryzyko, że mimo zapłacenia okupu nadal nie będzie dostępu do danych wynosi więc jeden do trzech. 19 proc. firm nie zapłaciło przestępcom, a mimo to udało im się odzyskać dane w inny sposób.

Andrzej Niziołek  podkreśla, że „płacenie cyberprzestępcom za przywrócenie danych nie jest strategią ochrony zasobów. Nie ma gwarancji ich odzyskania, a ryzyko utraty reputacji i zaufania klientów jest bardzo wysokie. Co więcej, takie postępowanie dodatkowo napędza i nagradza działania przestępców”. Dyrektor regionalny Veeam na Europę Wschodnią zaleca edukowanie pracowników i dbanie o ich cyfrową higienę, czyli kluczowe elementy nowoczesnej polityki ochrony danych. Ważne jest też regularne przeprowadzanie rygorystycznych testów rozwiązań i protokołów ochrony zasobów oraz tworzenie szczegółowych planów ciągłości działania oraz przywracania procesów, które przygotują głównych zainteresowanych na najgorsze scenariusze.

W 80 proc. udanych ataków ransomware przestępcy wykorzystali znane luki w zabezpieczeniach, w tym w popularnych systemach operacyjnych i hyperwizorach, a także w platformach NAS i serwerach baz danych. Potwierdza to konieczność aktualizowania oprogramowania. Najczęściej szyfrowane były platformy w zdalnych biurach (49 proc. przypadków). W 48 proc. atak objął też serwery w firmowych centrach danych, a w 46 proc. – chmurę. Znacznie wyższy wskaźnik ataków raportowano wśród specjalistów ds. bezpieczeństwa i administratorów kopii zapasowych niż wśród dyrektorów ds. IT lub CISO. Wskazuje to, że osoby będące bliżej problemu dostrzegają więcej zagrożeń.

(grafika tytułowa – źr. Veeam)