Wskaźnik liczby ataków ransomware na średnie i duże firmy nieznacznie spada, ale średni koszt odzyskania danych sięga nawet 2,73 miliona dolarów, czyli o milion dolarów więcej niż w 2022 r. Z opublikowanego przez firmę Sophos raportu State of Ransomware 2024 wynika również, że włamania z wykorzystaniem luk w zabezpieczeniach mają poważniejsze skutki dla przedsiębiorstw niż ataki z użyciem skradzionych danych uwierzytelniających.
Ataków jest mniej, ale wciąż za dużo
Eksperci Sophos przeanalizowali dane dotyczące bezpieczeństwa średnich i dużych firm z Europy, obu Ameryk, Azji i rejonu Pacyfiku. Odsetek firm dotkniętych atakami ransomware nieznacznie spadł – z 66 proc. w 2022 r. do 59 proc. w 2023 r. Eksperci Sophos wskazują jednak, że do tej zmiany należy podchodzić z ostrożnością, gdyż ataki szyfrujące dane są nadal największym zagrożeniem dla firm i napędzają branżę cyberprzestępczą.
– Niewielki spadek liczby ataków nie może dawać złudnego poczucia bezpieczeństwa. Dzięki możliwości prowadzenia ataków ransomware w różnych modelach zyski są w zasięgu każdego cyberprzestępcy, niezależnie od umiejętności. Podczas gdy niektóre grupy koncentrują się na wymuszaniu wielomilionowych okupów, inne zadowalają się niższymi kwotami, nadrabiając niewielkie zarobki liczbą przeprowadzanych ataków – wyjaśnia John Shier, dyrektor ds. technologii w Sophos.
Raport wskazuje, że prawdopodobieństwo pozostania ofiarą ataku ransomware rośnie wraz ze wzrostem przychodów przedsiębiorstwa, jednak nawet mniejsze firmy są regularnie celem ataków – w 2023 r. została nimi dotknięcia prawie połowa (47%) takich podmiotów.
Luki w zabezpieczeniach wciąż otwierają drzwi oszustom
Drugi rok z rzędu najczęściej wskazywaną przyczyną ataków ransomware było wykorzystanie przez cyberprzestępców luk w zabezpieczeniach w środowisku IT ofiary (32 proc.). Na drugim miejscu uplasowały się przejęte dane uwierzytelniające (29 proc.) i wiadomości e-mail zawierające złośliwe linki (23 proc.).
Z raportu Sophos wynika, że ataki z użyciem luk w zabezpieczeniach miały najbardziej destrukcyjne skutki. Cyberprzestępcy częściej w takich przypadkach szyfrowali również dane znajdujące się w kopiach zapasowych. Firmy dotknięte takimi atakami były także bardziej skłonne zapłacić okup za odzyskanie dostępu do danych, ale płaciły więcej (średnio 3,58 mln dolarów) niż przedsiębiorstwa, w których skradziono dane uwierzytelniające (średnio 2,58 miliona dolarów). Po ataku z użyciem luk w zabezpieczeniach więcej przedsiębiorstw potrzebowało ponad miesiąca na odzyskanie danych niż po kradzieży danych logowania.
Jednak, jak wynika z raportu, kopie zapasowe, które umożliwiają firmom szybkie odzyskanie danych po ataku, również były celem cyberprzestępców. Aż 94 proc. ankietowanych firm dotkniętych ransomware w 2023 roku stwierdziło, że napastnicy próbowali naruszyć bezpieczeństwo kopii zapasowych w firmie. Odsetek ten jest jeszcze wyższy w przypadku tak kluczowych branż, jak administracja państwowa i samorządowa – wynosi aż 99 proc. Ponad połowa wszystkich prób naruszenia backupu zakończyła się powodzeniem.
Firmy płacą coraz więcej za odzyskanie danych
Z raportu Sophos wynika, że za odzyskanie danych po ataku ransomware przedsiębiorstwa zapłaciły średnio ponad 2 miliony dolarów okupu, w porównaniu z 400 tys. dolarów w 2022 roku. Stanowi to wzrost o 500%.
Badanie wykazało także, że 63 proc. żądań okupu opiewało na sumę miliona dolarów lub więcej, a 30 proc. na ponad 5 milionów dolarów, co może sugerować, że cyberprzestępcy szukają możliwości jednorazowego zarobienia znacznych kwot. Eksperci Sophos wskazują, że większe kwoty okupu nie dotyczą tylko firm o najwyższych dochodach. Prawie połowa (46%) przedsiębiorstw o przychodach poniżej 50 milionów dolarów otrzymała w ciągu ostatniego roku żądanie okupu opiewające na siedmiocyfrowe kwoty.
24 proc. ankietowanych firm płaciło pełną kwotę okupu, a 44 proc. respondentów zapłaciło mniej niż oczekiwali cyberprzestępcy. Aby spełnić żądania oszustów i odzyskać dane przedsiębiorstwa w 82 proc. przypadków gromadziły środki z wielu źródeł, w tym od ubezpieczycieli.
Cyberprzestępcy szyfrują i kradną
Eksperci Sophos podkreślają, że cyberprzestępcy zwiększają swoją zdolność do wyłudzania pieniędzy od ofiar. W 32 proc. incydentów, w których dane zostały zaszyfrowane, zostały one również wykradzione. Nawet jeśli firmy zapłacą okup i dostaną od atakujących klucze deszyfrujące, nie kończy to problemów przedsiębiorstwa. Skradzione dane mogą zostać użyte do kolejnych szantaży lub innych działań.
– Dwóm najczęstszym przyczynom ataków ransomware, czyli wykorzystywaniu luk w zabezpieczeniach oraz kradzieży danych logowania, można zapobiec. Firmy muszą krytycznie ocenić ryzyko wystąpienia takich ataków i natychmiast zacząć im przeciwdziałać. Warto sięgnąć po narzędzia do ochrony urządzeń końcowych, a także po rozwiązania do całodobowego monitorowania stanu sieci i wykrywania pojawiających się zagrożeń, badania ich oraz reagowania na nie – wskazuje John Shier.