Benchmarkundersøkelse om cybersikkerhet: ransomware den største trusselfaktoren

Ransomware er en spesiell form for cyberkriminalitet. Ordet sier alt: gisseltaking. Benchmarkundersøkelsen om cybersikkerhet som Conscia har gjennomført i samarbeid med det kommersielle markedsundersøkelsesbyrået BenchLab, viser at ransomware anses som den største trusselfaktoren (82%).

Den økende trusselen og utviklingen av cyberkriminalitet

Ransomware er en spesiell form for cyberkriminalitet. Ordet sier alt: gisseltaking. Benchmarkundersøkelsen om cybersikkerhet som Conscia har gjennomført i samarbeid med det kommersielle markedsundersøkelsesbyrået BenchLab, viser at ransomware anses som den største trusselen (82%).

I mellomtiden viser flere studier om ransomware tallene for 2021. Konklusjon: løsepengesummene som kreves fortsetter å stige, og det samme gjør betalingene. Betyr det at organisasjoner er prisgitt ransomware-«gjengene»? Absolutt ikke! Selv om vi ikke ser dem, samles og deles det i fellesskap mye verdifull informasjon om taktikkene og teknikkene disse «gjengene» bruker.

Vi vet for eksempel at det kom til 35 nye ransomware-«gjenger» i 2021. [1] Noen grupper lyder villedende navn som Hello Kitty og Robinhood. Kort sagt er det grupper av kriminelle som har funnet en lukrativ forretning i ransomware. Så «vellykkede» at Ransomware as a Service (RaaS) nå tilbys, av kriminelle til kriminelle. Aktivitetene deres forventes bare å øke i årene som kommer.

Fakta og tall i korte trekk

Denne veksten var allerede merkbar i fjor. Antallet ofre steg med 85%, med Amerika som det største målet med 60%. Etterfulgt av EMEA med 31% og Asia-Stillehavsregionen med 9%. Løsepengesummen som kreves økte også med 144% til 2.2 millioner dollar. Beløpet som til slutt ble betalt lå i gjennomsnitt på rundt 500,000 dollar; 78% høyere enn i 2020. [1] Av organisasjonene som rammes av ransomware, går 58% til betaling. 14% betaler mer enn én gang. 41% kom seg etter angrepet innen en måned, 61% innen tre måneder.

Ifølge Maarten Werff, Solution Consultant Cybersecurity hos Conscia, er det en vekker at det ofte betales. «Det er en stadig mer moden industri, og ofte utfører de et dobbelt angrep. Først krypterer de altså dataene slik at de blir utilgjengelige. Betaler du ikke raskt nok, offentliggjør de de stjålne dataene, for eksempel persondata. Forretningskonsekvensen er da ikke bare at organisasjonen lammes, men også omdømmetap.»

Metoden nøstes opp

Oppbygningen av et ransomware-angrep er ofte den samme. Etter å ha kommet seg inn, som regel via et phishing-angrep, holder angriperne seg stille en stund før de beveger seg sidelengs. Ikke overraskende sier flertallet (67%) av respondentene i benchmarkundersøkelsen at de ikke vet hvor mange dager det tar før et angrep oppdages. Det er i angripernes interesse å bli værende så lenge som mulig, for å stjele så mye som mulig.

Når angrepet først er avslørt, er det ofte klart hvilken «gjeng» man har med å gjøre. Som regel har den kriminelle organisasjonen en servicedesk (rart, men sant!). Det er imidlertid ikke det eneste som avslører ransomware-gruppens identitet. Verden over deles kunnskap og informasjon om disse «gjengene», om taktikkene og teknikkene de bruker. Conscia bidrar også til dette gjennom rammeverket MITRE ATT&CK. Kunnskap er makt, og det gjør at angrepne organisasjoner kan gjøre motstand, selv om de kriminelle allerede er inne. Selv om organisasjoner som regel ikke offentliggjør at de har betalt (av frykt for flere angrep og omdømmetap), kan det likevel hjelpe kampen mot cyberkriminalitet å gjøre det. Ifølge Werff finnes det absolutt tilfeller der dette er gjort. «Veldig modig og veldig lærerikt for andre eksperter!»

Defense-in-Depth

En beskyttelse på 100% mot ransomware-relatert skadevare er ikke realistisk, og derfor anbefaler vi en «defence-in-depth»-tilnærming. Det innebærer å bruke lagdelt sikkerhet fra ulike vinkler; fra å innføre tekniske tiltak til å utarbeide retningslinjer og prosedyrer. Med denne tilnærmingen har du større sjanse til å oppdage og stoppe skadevare før den gjør skade i organisasjonen din.

Utgangspunktet i defence-in-depth-tilnærmingen er «assume breach», der du antar at enhver sikkerhetsmekanisme før eller siden brytes. Men i stedet for å kaste inn håndkleet kan du ta grep for å redusere konsekvensene ved å bruke sterk deteksjon som gjør at du kan korte ned responstiden ved hendelser. Disse detekterende og responderende tiltakene krever imidlertid kunnskap, tid og ekspertise fra IT- og sikkerhetsmedarbeidere. Vi ser derfor at mange organisasjoner (delvis) setter ut disse detection- og response-aktivitetene til en leverandør av administrerte sikkerhetstjenester. Slik kan IT-sikkerhetsteamet fokusere på å styrke cyberrobustheten og sikre bedre samsvar med organisasjonens mål. Det er viktig å huske at cybersikkerhet er en kontinuerlig prosess som hele tiden må evalueres og tilpasses for å holde tritt med et trussellandskap i stadig endring.