Tradiční ransomware šifruje soubory či systémy, ale mnoho operací nejprve krade data a může používat krádež, veřejné odhalení, kontaktování zákazníků nebo narušení služeb jako další páku.
Událost ransomwaru je často viditelným koncem delšího vniknutí. Útočníci již mohli ukrást přihlašovací údaje, pohybovat se laterálně, vypnout zábrany, přistupovat k zálohám a exfiltrovat informace dříve, než se požadavek výkupného objeví. Reakce proto vyžaduje vyšetření úplné kompromitace, nikoli pouze obnovení zašifrovaných souborů.
Klíčové body
Běžné vstupní cestyUkradené přihlašovací údaje, zneužitelné internetové systémy, phishing, škodlivá stahování, vzdálené služby a kompromitace dodavatelského řetězce.
Snížení rizikaSilné kontroly identit, rychlá náprava, segmentace, monitorované koncová zařízení, chráněné správní cesty a testované offline či neměnné zálohy.
Priorita reakceChraňte životy a základní služby, zadržte šíření, zachovejte důkazy, posuďte krádež, koordinujte zúčastněné strany a obnovujte ze známých dobrých zdrojů.
Důležité omezeníZálohy zlepšují obnovu, ale nebrání krádeži dat, podvodu, regulačnímu dopadu ani opakování z nevyřešeného vstupního bodu.