Az információs rendszerekre változatlanul a zsarolóvírusok jelentik az egyik legnagyobb veszélyt, viszont úgy tűnik, nem következett be a ransomware-apokalipszis. 2024-ben jelentősen csökkent a támadóknak kifizetett összeg: a hatékonyabb hatósági fellépés, a nemzetközi zsarolóvírus-ellenes műveletek és az áldozatok kisebb fizetési hajlandósága a jelek szerint eredményre vezet.
◼︎ Kevesebben fizetnek
Az előző évhez képest 2024-ben harmadával csökkentek a zsarolóvírusos támadások áldozatai által kifizetett összegek. A rekordnak számító 2023-as 1,25 milliárd dollárt követően tavaly 813 millió került a bűnözők kezébe – állapította meg tanulmányában az amerikai Chainalysis.
A szintén amerikai Veeam információbiztonsági vállalat tanulmánya hasonló tendenciáról számolt be. Eszerint az érintett szervezetek több mint harmada (36 százaléka) egyáltalán nem fizetett, 25 százalékuk pedig ennek ellenére visszaszerezte adatait. A fizetők túlnyomó többsége (82 százalék) az eredeti összegnél kevesebbet, 60 százalékuk pedig a felét sem juttatta el a bűnözőknek. Ugyanakkor a válaszadók 17 százaléka fizetett, mégsem kapta vissza az adatait.
Az is ritka, hogy az áldozat kifizesse a kért váltságdíj egészét – a Veeam felmérésében résztvevők körében ez csak az esetek 13 százalékában fordult elő. A támadások 60 százalékánál a kért összegnek legfeljebb a felét fizették ki.
A visszaesés annak ellenére következett be, hogy 2024-ben több nagy horderejű ransomware-támadásról is beszámoltak a szakértők. A brit egészségbiztosító (National Health Service, NHS) által üzemeltetett londoni kórházak vagy a Krispy Kreme amerikai fánkkészítő is zsarolóvírusos támadás áldozata lett. Magyarázat lehet, hogy az áldozatok a korábbiaknál kisebb fizetési hajlandóságot mutattak, a bűnüldöző szervek eredményesebben léptek fel kiberbandák és magányos farkasok ellen, ráadásul a nemzetközi együttműködés is hatékonyabb lett.
Nem éri meg fizetni
A tavalyi visszaesés akár trendforduló is lehet. A megzsarolt vállalatoknak csak a negyede fizetett, és ez mérföldkő a ransomware elleni harcban. Hiába több a – jellemzően Oroszországból vagy más ex-szovjet államból indított – támadás, a követelések teljesítését megtagadó áldozatok száma szintén nő. Hosszabb távon pedig biztosan nem éri meg fizetni, mert a követelésre egyszer rábólintó szervezetek 69 százalékát újabb támadások érték.
Szintén bizakodásra okot adó adat, hogy 2024 második felében a kifizetések meredeken estek, míg a bandák által követelt összegek 53 százalékkal haladták meg tényleges bevételeiket. Ugyanebben az időszakban a kriptovalutás tranzakciókat a blokkláncon rögzítő fizetési határidők, a zsarolóvírusokhoz kapcsolódó on-chain fizetések száma csökkent, ami az áldozatok kisebb fizetési hajlandóságára utaló jel.
Nemzetközi összefogással
A 2024-es 813 millió dolláros összeg nemcsak a 2023-asnál, de a 2019-es 1,1 milliárdnál és a 2020-as 999 milliónál is alacsonyabb. A csökkenő számokat részben a szigorúbb fellépést célzó kezdeményezések is magyarázzák. Az amerikai kormány által 2021-ben indított International Counter Ransomware Initiative-hez (CRI-hez) csatlakozó 68 ország a globális ransomware-ökoszisztéma gyengítését és közös szabályozáspolitikai megközelítést igyekszik kialakítani.
Ennek része az is, hogy az áldozatokat igyekeznek eltántorítani a fizetéstől – ezt a CRI egy tagja kormányzati állásfoglalásban vállalta, és jogszabályok is születtek erre vonatkozóan. Két amerikai állam (Florida és Észak-Karolina) már megtiltotta az állami szektor intézményeinek, hogy támadás esetén fizessenek, és hasonló törvénytervezet van a parlament asztalán az Egyesült Királyságban is. Az FBI szintén erősen ellenzi a váltságdíj-fizetést, míg az USA Pénzügyminisztériuma büntetné, ha a pénz tiltólistákon szereplő külföldi szervezeteknél kötne ki.
Bűnözők lekapcsolva
Hozzájárul a helyzet javulásához, hogy a bűnüldöző szervek hatékonyabban lépnek fel a nagyobb bűnözői körökkel szemben. Az összehangolt és eredményes nemzetközi fellépés eredményeképpen tavaly sikerült lekapcsolni a zsarolóvírust szolgáltatásként (Ransomware-as-a-Service, RaaS) kínáló LockBitet. 2024 márciusában lehúzta a redőnyt és befejezte tevékenységét a szintén RaaS-t értékesítő BlackCat – de azért utoljára még végrehajtott egy sikeres támadást a Change Healthcare ellen, amelyből hírek szerint 22 millió dollárnyi „lelépési pénzt” szedett össze. Ugyancsak a nagyobb játékosok közé tartozott a Black Basta, amely idén szüntette be ténykedését – legalábbis erre utalnak azok a kiszivárgott belső üzenetek, amelyekben a banda tagjai aggodalmuknak adtak hangot a hatóságok vizsgálódásai miatt.
| Egy kis történelem
Az első zsarolóvírus, az AIDS (másik nevén PC Cyborg Trojan) 1989-ben kért 189 dollár „licencmegújítási díjat”, de túl egyszerű titkosítást használt, és az elrejtett fájlokat könnyedén visszaállították. A szintlépést jelentő változatok 2005 körül jelentek meg, a vírus kódjából már nem lehetett visszafejteni a titkosított adatok visszaállításához nélkülözhetetlen jelszót. Igazi térhódításuk a 2010-es években indult, a Symantec 2016-ban már a legnagyobb kiberveszélyként beszélt róluk. 2020-ban már 623 millió támadást követtek el. Manapság általában phishing-támadás keretében fertőzik meg az áldozatok rendszereit: vagy a letöltött állomány, vagy a csaléteknek elhelyezett link tartalmazza a kártevőt, bár van példa közvetlen támadásokra is. Amikor a támadók hozzáfértek az adatokhoz, azokat először általában letöltik, majd az adatbázisokat (nem egy esetben a visszaállításhoz használandó tartalékmásolatokat is) titkosítják. Az áldozatnak fizetnie kell azért is, hogy adatait ne hozzák nyilvánosságra, és azért is, hogy újra hozzáférjenek saját adataikhoz. A váltságdíjat szinte mindig valamilyen kriptovalutában kérik a támadók. |
Ez azonban csak a jéghegy csúcsa. A nagyok nyomában számtalan kisebb szervezet jár, és ezek, hasonlóan a „magányos farkasokhoz”, tavaly is fokozták támadásaik intenzitását. Az is jellemző, hogy a „sok kicsi sokra megy” elve alapján számos szervezet elkerüli a kritikus infrastruktúrákat (ahol nagyobb valószínűséggel vonják magukra a hatóságok kiemelt figyelmét), és inkább a kisebb vállalatokat, szervezeteket támadják, amelyeknek feltehetően a kibervédelme is gyengébb.
A veszély nem múlt el
Kétségeink persze ne legyenek, a támadások nem szűnnek meg. A módszerek tovább finomodnak, a bűnözők váltogatják taktikájukat, esetleg tökélyre fejlesztik a LockBit RaaS-stratégiáját: a célpont-kiválasztást és a támadást félig független „leányvállalatok” hálózatába szervezik ki. Biztosítják számukra az eszközöket és az infrastruktúrát, és jutalékot kérnek a váltságdíjakból.
A leghatékonyabb védekezési stratégiák nem feltétlenül a támadások elkerülésére, hanem azok mielőbbi észlelésére és a gyors reagálásra helyezik a hangsúlyt. A zero trust megközelítés, a hatékony hozzáférés-kezelés, a szoftversérülékenységek időbeli befoltozása csökkenti a sikeres támadás kockázatát; szükséges a biztonsági mentések és a visszaállítás stratégiájának végiggondolása, illetve az adatvisszaállás kipróbálása; végül pedig jó előre el kell készíteni az intézkedési tervet, amely minden érintett személy felelősségét és feladatait tartalmazza.
