Ransomware: pagar ou não pagar pelo resgate, esta não é a única questão – Neotel Segurança Digital
Fernando de Falchi, gerente de Engenharia de Segurança da Check Point Software Brasil.
A cada semana, 1.200 organizações ou mais em todo o mundo são vítimas de um ataque de ransomware, e todas as empresas, sem exceções, estão em risco.
De acordo com a Cybersecurity Ventures, os danos causados pelo ransomware chegarão a aproximadamente US$ 20 bilhões este ano, um aumento de 57 vezes em relação a 2015.
Em 2031, o custo dos incidentes de ransomware poderá até ultrapassar a cifra de US$ 265 bilhões.
O número de ataques de ransomware está crescendo por um motivo simples: os resgastes estão sendo pagos.
A disposição para pagar cria um ciclo perigoso e aumenta a motivação dos atacantes.
Além disso, o seguro contra riscos cibernéticos está se tornando mais comum, de modo que as empresas não hesitam em atender às demandas dos cibercriminosos, agravando ainda mais o problema.
O aumento de ataques também está relacionado à disponibilidade de ameaças.
Muitos grupos decibercriminosos oferecem "Ransomware como Serviço", então qualquer pessoa pode alugar esse tipo de ameaça, incluindo infraestrutura, negociação com vítimas ou sites de extorsão em que informações roubadas podem ser postadas.
Portanto, o resgate é dividido entre os "parceiros"; além do fato de os grupos de cibercriminosos geralmente trabalharem juntos.
Contudo, um ataque de ransomware geralmente não começa com o ransomware. Muitas vezes se inicia com um e-mail de phishing "simples".
Mas, como as empresas podem saber se foram vítimas de um ataque de ransomware e como devem reagir? Se não for detectado a tempo, é relativamente fácil descobrir, pois as organizações receberão uma mensagem pedindo resgate e não poderão acessar os dados da empresa.
Além disso, os cibercriminosos estão constantemente aprimorando suas técnicas para aumentar a pressãoquanto aos pagamentos.
Originalmente, o ransomware "apenas" criptografava os dados e um resgate era exigido para desbloqueá-los. Os atacantes logo adicionaram uma segunda fase e roubaram informações valiosas antes da criptografia, ameaçando torná-las públicas se o resgate não fosse pago.
Aproximadamente 40% de todas as novas famílias de ransomware usam o roubo de dados de alguma forma, além da criptografia.
Ademais, vimos recentemente uma terceira fase em que os parceiros ou clientes das empresas atacadas também são contatados para o pedido de um resgate, ou seja, trata-se de uma nova técnica chamada tripla extorsão .
Desconectar imediatamente os sistemas infectados do resto da rede para evitar mais danos, e, ao mesmo tempo, identificar a origem da infecção.
Como já foi mencionado, um ataque de ransomware geralmente começa com outra ameaça, e os cibercriminosos podem estar no sistema por um longo tempo, gradualmente cobrindo seus rastros. Então, detectar o "paciente zero" pode não ser algo que a maioria das empresas conseguirá lidar sem ajuda externa.
Os atacantes sabem que as organizações tentarão recuperar seus dados de backups para evitar o pagamento do resgate. É por isso que uma das fases do ataque costuma ser uma tentativa de localizar e criptografar ou excluir backups.
Além disso, nunca se deve conectar dispositivos externos àqueles infectados. A recuperação de dados criptografados pode causar corrupção, por exemplo, devido a uma chave com defeito. Portanto, pode ser útil fazer cópias dos dados criptografados.
Ferramentas de decriptação também estão sendo desenvolvidas gradualmente para ajudar a decifrar códigos até então desconhecidos. Se você tinha backups que não foram criptografados, verifique a integridade dos dados antes de restaurar totalmente.
Na luta contra o cibercrime, e o ransomware em particular, a colaboração é fundamental. Assim sendo, deve-se entrar em contato com as autoridades policiais e cibernéticas nacionais e não hesitar em entrar em contato com a equipe dedicada de resposta a incidentes de uma empresa de segurança cibernética.
Informar os funcionários sobre o incidente, incluindo instruções sobre como proceder no caso de qualquer comportamento suspeito, é outra ação fundamental.
Se o ataque de ransomware for bem-sucedido, a organização será confrontada com a escolha de pagar o resgate ou não. De qualquer forma, as empresas devem voltar ao início e descobrir por que o incidente ocorreu. Se foram fatores humanos ou tecnologia que falharam, passe por todos os processos novamente e repense toda a estratégia para garantir que um incidente semelhante nunca aconteça novamente.
Essa etapa é necessária independentemente de a organização pagar o resgate ou não. Nunca se pode ficar confortável com o fato de que de alguma forma a recuperação de dados ocorreu e considerar o incidente resolvido.
Afinal, pagar ou não pagar? A resposta não é tão simples quanto parece. Embora os valores do resgate às vezes cheguem a centenas de milhares ou milhões de dólares, as interrupções de sistemas críticos costumam ultrapassar esses valores.
No entanto, as empresas devem se lembrar que mesmo que o resgate seja pago, isso não significa que os dados, ou mesmo parte deles, serão realmente decifrados. Existem casos conhecidos em que os atacantes possuem bugs nos códigos, de forma que a organização não pode recuperar os dados, mesmo se eles quisessem.
2. Instalar atualizações e patches regularmente. O WannaCry atingiu fortemente organizações em todo o mundo em maio de 2017, infectando mais de 200 mil computadores em três dias. No entanto, um patch para a vulnerabilidade EternalBlue explorada estava disponível por um mês antes do ataque.
Atualizações e patchesprecisam ser instalados imediatamente e ter uma configuração automática.
4. A educação é uma parte essencial da proteção. Muitos ataques cibernéticos começam com um e-mail direcionado que não contém malware, mas usa a técnica de engenharia social para tentar fazer com que o usuário clique em um link perigoso.
A educação do usuário é, portanto, uma das partes mais importantes da segurança.
7. Limitar o acesso apenas às informações necessárias e ao segmento. Se a empresa deseja minimizar o impacto de um ataque potencialmente bem-sucedido, é importante garantir que os usuários tenham acesso apenas às informações e aos recursos de que absolutamente precisam para realizar seu trabalho.
A segmentação minimiza o risco de o ransomware se espalhar incontrolavelmente pela rede. Lidar com as consequências de um ataque de ransomware em um sistema pode ser difícil, mas reparar o dano após um ataque em toda a rede é muito mais desafiador.