Nowoczesne operacje często łączą szyfrowanie z kradzieżą i groźbą wycieku (podwójne wymuszenie), wymuszaniem na kontrahentach lub zakłócaniem operacji. Płatność nie gwarantuje odszyfrowania ani nieujawnienia i może być regulowana lub zabroniona w niektórych jurysdykcjach.
Wektory wejścia obejmują phishing, wykorzystanie ekspozowanych usług, skradzione poświadczenia, skompromitowane łańcuchy dostaw i brokerów dostępu. Po wejściu operatorzy zwykle eskalują uprawnienia, niszczą kopie zapasowe i ruszają bocznie, zanim wyzwolą szyfrowanie. Ekosystem obejmuje operatorów, afiliantów, negocjatorów i usługi płatności, więc atrybucja i struktura kampanii są złożone.
Najważniejsze punkty
PrewencjaAktualne, przetestowane, odizolowane kopie zapasowe; ograniczona ekspozycja usług; uwierzytelnianie odporne na phishing; segmentacja; ochrona punktów końcowych i monitorowana egzekucja — warstwy, bo żadna sama nie wystarcza.
DetekcjaWczesne sygnały to masowe zmiany nazw lub zawartości plików, usuwanie kopii woluminów, nietypowy szyfrowany ruch i komunikacja command and control; im później, tym mniej opcji.
ReakcjaOdizoluj dotknięte systemy szybko, ale zachowaj dowody; aktywuj plan incydentowy i komunikacyjny; oceń zakres przed wyciąganiem wtyczek; zaangażuj organy i specjalistów w razie potrzeby.
Istotne ograniczenieOdzyskanie z backupu nie usuwa intruzji — ścieżka wejścia, utrwalenie i skradzione dane nadal wymagają reakcji. Płacenie okupu nie gwarantuje odszyfrowania ani nieujawnienia i może finansować kolejne ataki lub naruszać przepisy sankcyjne.