Benchmarkundersökning om cybersäkerhet: ransomware den största hotfaktorn

Ransomware är en särskild form av cyberbrottslighet. Ordet säger allt: gisslantagande. Benchmarkundersökningen om cybersäkerhet som Conscia genomfört i samarbete med det kommersiella marknadsundersökningsföretaget BenchLab visar att ransomware anses vara den största hotfaktorn (82%).

Det växande hotet och cyberbrottslighetens utveckling

Ransomware är en särskild form av cyberbrottslighet. Ordet säger allt: gisslantagande. Benchmarkundersökningen om cybersäkerhet som Conscia genomfört i samarbete med det kommersiella marknadsundersökningsföretaget BenchLab visar att ransomware anses vara det största hotet (82%).

Samtidigt visar flera studier om ransomware siffrorna för 2021. Slutsats: de krävda lösensummorna fortsätter att stiga, liksom de betalningar som görs. Betyder det att organisationer är utlämnade åt ransomware-”gängen”? Absolut inte! Även om vi inte ser dem samlas och delas kollektivt en mängd värdefull information om de taktiker och tekniker som dessa ”gäng” använder.

Vi vet till exempel att 35 nya ransomware-”gäng” tillkom under 2021. [1] Vissa grupper lystrar till vilseledande namn som Hello Kitty och Robinhood. Kort sagt är det grupper av kriminella som har hittat en lukrativ affär i ransomware. Så pass ”framgångsrika” att Ransomware as a Service (RaaS) numera erbjuds, av kriminella till kriminella. Deras aktiviteter väntas bara öka under de kommande åren.

Fakta och siffror i korthet

Den här tillväxten märktes redan förra året. Antalet offer steg med 85%, där Nord- och Sydamerika var det största målet med 60%. Följt av EMEA med 31% och Asien-Stillahavsområdet med 9%. Den krävda lösensumman ökade också med 144% till 2.2 miljoner dollar. Det belopp som till slut betalades låg i genomsnitt på cirka 500,000 dollar; 78% högre än 2020. [1] Av de organisationer som drabbats av ransomware går 58% vidare till betalning. 14% betalar mer än en gång. 41% återhämtade sig från attacken inom en månad, 61% inom tre månader.

Enligt Maarten Werff, Solution Consultant Cybersecurity på Conscia, är det en ögonöppnare att lösensummorna ofta betalas. ”Det är en alltmer mogen industri och ofta genomför de en dubbel attack. Först krypterar de alltså data så att den blir otillgänglig. Om du inte betalar tillräckligt snabbt släpper de den stulna informationen, till exempel personuppgifter. Affärspåverkan blir då inte bara att organisationen lamslås, utan även skadat anseende.”

Metoden nystas upp

Strukturen i en ransomware-attack är ofta densamma. Efter intrånget, oftast via en phishing-attack, håller angriparna sig tysta ett tag innan de rör sig i sidled. Föga förvånande uppger majoriteten (67%) av respondenterna i benchmarkundersökningen att de inte vet hur många dagar det tar innan en attack upptäcks. Det ligger i angriparnas intresse att stanna kvar så länge som möjligt, för att stjäla så mycket som möjligt.

När attacken väl avslöjats är det ofta tydligt vilket ”gäng” man har att göra med. Vanligtvis har den kriminella organisationen en servicedesk (märkligt men sant!). Det är dock inte det enda som avslöjar ransomware-gruppens identitet. Världen över delas kunskap och information om dessa ”gäng”, om de taktiker och tekniker de använder. Conscia bidrar också till detta genom ramverket MITRE ATT&CK. Kunskap är makt och den gör att attackerade organisationer kan göra motstånd, även när de kriminella redan är inne. Även om organisationer oftast inte offentliggör att de har betalat (av rädsla för fler attacker och skadat anseende) kan det ändå hjälpa kampen mot cyberbrottslighet att göra det. Enligt Werff finns det definitivt fall där det har gjorts. ”Väldigt modigt och väldigt lärorikt för andra experter!”

Defense-in-Depth

Ett skydd på 100% mot ransomware-relaterad skadlig kod är inte realistiskt, och därför rekommenderar vi ett ”defence-in-depth”-angreppssätt. Det innebär att tillämpa säkerhet i flera lager från olika vinklar; från att införa tekniska åtgärder till att ta fram policyer och rutiner. Med det här angreppssättet har du större chans att upptäcka och stoppa skadlig kod innan den orsakar skada i din organisation.

Utgångspunkten i defence-in-depth-angreppssättet är ”assume breach”, där du utgår från att varje säkerhetsmekanism förr eller senare forceras. Men i stället för att kasta in handduken kan du vidta åtgärder för att mildra konsekvenserna genom stark detektion som gör att du kan korta responstiden vid incidenter. Dessa detekterande och responsiva åtgärder kräver dock kunskap, tid och expertis av IT- och säkerhetspersonalen. Vi ser därför att många organisationer (delvis) lägger ut dessa detection- och response-aktiviteter på en leverantör av managerade säkerhetstjänster. På så sätt kan IT-säkerhetsteamet fokusera på att stärka cyberresiliensen och säkerställa bättre samsyn med organisationens mål. Det är viktigt att komma ihåg att cybersäkerhet är en pågående process som ständigt måste utvärderas och anpassas för att hålla jämna steg med ett hotlandskap i ständig förändring.