כופרה לא נעצרה בקובץ מוצפן ובהודעת תשלום. במאמר ההיסטורי הזה, שנכתב ב־2022, נבחן איך התקיפות השתנו במהלך 2021 ובתחילת 2022: יותר פגיעה בתשתיות, יותר דרכי סחיטה והשפעה רחבה על עסקים ושרשראות אספקה. האירועים והמספרים נשמרים מהמקור; הם אינם נתונים עדכניים לשנת פרסום המאמר בעברית.
כופרה פוגעת ביותר מדרך אחת
- הצפנה עוצרת עבודה
- גניבת מידע פוגעת בסודיות
- גיבוי מסייע להתאושש
לפי הנתונים המצוטטים במקור מדוח הפרות המידע של Verizon, תדירות מתקפות הכופרה כמעט הוכפלה ב־2021, והן היוו 10% מההפרות שנבדקו בדוח. התקיפות פגעו בארגונים בגדלים ובענפים שונים, כולל בתי חולים, בתי ספר, ממשלות ותשתיות חיוניות.
REvil היא אחת הקבוצות שהמקור מתאר, ובהקשר הזה מוזכרות הפגיעות ב־JBS וב־Kaseya. JBS, מספקיות הבשר הגדולות בארצות הברית, שילמה לפי המקור 11 מיליון דולר בעקבות האירוע. גם מפיצת הכימיקלים הגרמנית Brenntag וחברת הביטוח CNA Financial הוזכרו כדוגמאות שממחישות את מגוון הנפגעים.
זו מגמה שספקי שירותים מנוהלים צריכים להכיר גם עבור עצמם וגם עבור לקוחותיהם. המקור מציין שב־2021 דיווחו 37% מהארגונים על פגיעה מכופרה במהלך השנה, וש־54% ממקבלי ההחלטות ב־IT סברו שהכופרה מתקדמת מכדי שהצוות שלהם יתמודד איתה לבדו. ספקי שירותים יכולים לסייע בהגנה ובבניית אסטרטגיית אבטחה שמצמצמת סיכון לאורך זמן.
כשהתקיפה יוצאת מהמסך ופוגעת בשירותים
ב־2021 פגעו מתקפות משמעותיות בארגוני תשתית חיונית. אחת הדוגמאות היא Colonial Pipeline, המספקת חלק ניכר מהדלק לחוף המזרחי בארצות הברית. התקיפה גרמה להפסקת פעילות הצינור למשך כמה ימים, פגעה בשרשרת האספקה והובילה לתורים בתחנות דלק.
החברה שילמה לתוקפים 4.4 מיליון דולר. המקור מציין שה־FBI הצליח להחזיר בהמשך כמחצית מהסכום. זהו תיאור האירוע ההיסטורי במקור, ולא דוגמה שממנה אפשר להסיק שכספי כופר מוחזרים בדרך כלל.
האירוע לא היה היחיד. לפי הדוח המצוטט במאמר, כופרה הייתה ב־2021 סוג התקיפה המרכזי נגד ארגונים תעשייתיים. ענף הייצור היה יעד בולט והיווה 65% מהמקרים שזוהו בארגונים אלה. אותו דוח ייחס מחצית מהתקיפות לשתי קבוצות: Conti ו־LockBit 2.0.
כופרה כשירות: לא כל תוקף כותב את הקוד
Ransomware as a Service, או RaaS, הוא מודל עברייני שבו תוקפים משלמים כדי להשתמש בכופרה שאחרים פיתחו. לא צריך לכתוב את הנוזקה בעצמם כדי לנסות להפעיל מתקפה.
המודל לא היה חדש ב־2021, אך המשיך להקל על עבריינים להוציא לפועל מתקפות גם בלי מומחיות רבה. המקור מצטט הערכה של כ־56 קבוצות שהציעו אז מוצרים כאלה. הוא מציג את הרווחיות ואת הקושי להתמודד עם הקבוצות כגורמים שעשויים לעודד את התרחבות המגמה.
הסחיטה לא מסתיימת בהצפנה
ב־2021 תוארה גם עלייה בלחץ ציבורי על קורבנות. לצד הצפנה ודרישת תשלום, תוקפים פרסמו שמות והודיעו מי נפגע. עבור העסק, האירוע כבר לא נשאר רק בשיחה עם צוות ה־IT.
לפי אחת המדידות במקור, ב־2021 הייתה עלייה של 85% בפרסום שמות והוכחות לפגיעה לעומת 2020, ונוספו 35 קבוצות כופרה שהשתמשו בקביעות בשיטות סחיטה.
כך מנסים ללחוץ על הקורבן לשלם במהירות, לסיים את האירוע או להסכים לסכום גבוה יותר. בחלק מהמקרים הפרסום משמש גם להצגת יכולת התוקפים בפני גורמים אחרים ברשת האפלה.
המחיר ממשיך גם אחרי דרישת הכופר
ככל שהתקיפות התרבו, גם המחיר עלה. המקור מציין דרישת כופר ממוצעת של 2.2 מיליון דולר ב־2021, לעומת 900 אלף דולר ב־2020 ו־541,010 דולר ב־2019. דרישת כופר לא בהכרח סכום ששולם בפועל; לא כל ארגון בוחר לשלם.
דרישת כופר יכולה להיות כבדה גם לארגון גדול, אבל היא רק חלק מהחשבון. גם אם בוחרים לשלם, פענוח והחזרת נתונים אינם מסיימים בהכרח את ההתאוששות. צריך להחזיר פעילות, לבדוק מערכות ולוודא שאפשר לתת בהן אמון.
יכול להיות שצריך לבנות מערכות מחדש ולהקדיש זמן נוסף לבדיקה שהן פועלות כראוי. לפי נתון נוסף במקור, רוב העסקים שנכללו במדידה, 66%, נזקקו לכ־15 עד 30 יום כדי להתאושש.
גם מי שמגן על לקוחות צריך להגן על עצמו
ספק IT צריך להגן גם על הסביבה שלו. תקיפה יכולה לפגוע בתמיכה בלקוחות, והקישוריות וההרשאות המוגברות אצלם עלולות להפוך את הספק לנתיב תקיפה. האחריות לא נעצרת בחומת האש של הלקוח.
האירוע ב־Kaseya היה דוגמה לכך ב־2021. החברה מספקת תוכנות ניהול IT שמשמשות ספקים רבים. ביולי אותה שנה הודיעה שנפגעה באירוע כופרה, שהתפשט לפי המקור לכ־1,500 ארגונים בעולם המשתמשים בתוכנה.
REvil דרשה 70 מיליון דולר. לפי המאמר, Kaseya סירבה לשלם וקיבלה מפתח פענוח בדרך אחרת.
האירוע ממחיש למה ספקי שירותים צריכים להגן גם על עצמם וגם על לקוחותיהם. צריך בקרות אבטחה מתאימות ובדיקה של התוכנות הקריטיות, כולל הדרך שבה הספקים שלהן מפתחים ומתחזקים אותן.
מה לוקחים מהאירועים לתוכנית ההגנה?
אלה השינויים שהמחבר תיאר ב־2021. בזמן כתיבת המאמר הוא הדגיש שהם משפיעים על ארגונים בכל גודל וענף, והמליץ לספקי שירותים לעקוב אחריהם ולהתאים את ההגנה עם הלקוחות. את הלקח אפשר לקחת קדימה; את המספרים צריך להשאיר בהקשר ההיסטורי שלהם.
ספקים נמצאים לעיתים בחזית ההגנה של לקוחותיהם. ניהול סיסמאות הוא דוגמה לצעד שיכול לצמצם סיכון ולסייע הן לספק והן ללקוח לאורך זמן.
נוסח עברי מלא המבוסס על גוף המאמר בקובץ ה־PDF שסופק, בעריכת שפה לקריאה נוחה. הערות דיוק ותיקונים למקור מסומנים בנפרד. דוגמאות הסבר נוספו לפי הצורך; תפריטי אתר, מודעות וקישורי המלצות אינם חלק מגוף המאמר.
מקור: How Ransomware Is Evolving Nowadays.pdf מאת MSP360. למאמר המקורי.
