Logo FEN
Zostań naszym partnerem

Tag: ransomware

Opublikowane w

Firmy handlowe na celowniku cyberprzestępców. Co druga płaci okup za odzyskanie danych

Baner promujący artykuł Sophos: Firma handlowa zagrożona cyberatakiem – co druga płaci okup. Na zdjęciu kobieta dokonująca zakupów online podczas Black Friday.

Najnowszy raport Sophos „State of Ransomware in Retail” ujawnia, że w ubiegłym roku niemal połowa (48%) ataków ransomware na firmy zajmujące się handlem detalicznym zakończyła się zaszyfrowaniem danych. To wynik najniższy od pięciu lat, jednak równocześnie odsetek incydentów bazujących wyłącznie na wymuszeniu okupu (bez szyfrowania informacji) wzrósł trzykrotnie w porównaniu z 2023 rokiem. Eksperci Sophos zwracają uwagę, że braki kadrowe, niewystarczająca ochrona oraz ograniczona widzialność powierzchni ataku nadal utrudniają skuteczne wykrywanie
i neutralizowanie zagrożeń w branży handlowej.

Najczęściej wskazywanym czynnikiem prowadzącym do udanego ataku ransomware na firmy z branży handlu detalicznego były luki w zabezpieczeniach, o których istnieniu nie wiedzieli administratorzy (46% przypadków). Tuż za nimi uplasował się niedobór specjalistycznych kompetencji, które pozwoliłyby zapobiegać zagrożeniom i zwalczać je (45%) – był to najwyższy odsetek spośród wszystkich badanych branż. Na trzecim miejscu znalazł się niewystarczający poziom ochrony, na który wskazało 44% respondentów.

Dane konsumentów wciąż na celowniku

W minionym roku zespół analityczny Sophos odnotował blisko 90 różnych grup cyberprzestępczych, które za cel ataków za pomocą ransomware lub wymuszeń okupu bazujących na zagrożeniu publikacją skradzionych informacji obrały firmy
z branży handlu detalicznego. Najaktywniejszymi grupami były Akira, Cl0p, Qilin, PLAY oraz Lynx.

Osoba robiąca zakupy online na laptopie podczas Black Friday, trzymająca kartę płatniczą. Na ekranie widoczne hasła ‘Black Friday’ i ‘SALE’ obok zdjęć ubrań.

Jednocześnie już 8 na 10 polskich konsumentów dokonuje zakupów online, co oznacza, że do sieci trafia coraz więcej informacji – imiona i nazwiska, adresy, dane kart płatniczych czy numery telefonów. Są one przechowywane w systemach informatycznych sklepów i – gdy są nieodpowiednio chronione – dostęp do nich mogą uzyskać cyberprzestępcy w celu zaszyfrowania, sprzedaży na czarnym rynku lub całkowitego usunięcia i żądania od firm okupu za ich przywrócenie. Z danych Sophos wynika, że mediana wysokości żądanych okupów w branży handlu detalicznego podwoiła się w ciągu ostatniego roku, osiągając 2 mln dolarów (wobec 1 mln dolarów w 2024 r.). Wpływ na to miał przede wszystkim wzrost o 59% liczby żądań okupu na poziomie 5 mln dolarów lub więcej.

Firmy z branży handlowej stoją obecnie w obliczu coraz bardziej złożonego krajobrazu zagrożeń, w którym cyberprzestępcy nieustannie wyszukują podatności – najczęściej w systemach zdalnego dostępu i urządzeniach sieciowych. Rekordowe sumy żądanego okupu tylko uwydatniają potrzebę wdrażania kompleksowych strategii bezpieczeństwa. W przeciwnym razie przedsiębiorstwa ryzykują długotrwałymi przestojami operacyjnymi oraz utratą zaufania klientów. Pocieszające jest jednak to, że coraz więcej firm dostrzega tę potrzebę i inwestuje w cyfrową ochronę. Dzięki temu zwiększają swoją gotowość do zatrzymania ataku, zanim zdąży się on rozwinąć, a także są w stanie szybciej wrócić do pełnej sprawności po incydencie
– wskazuje Chester Wisniewski, dyrektor ds. technologii w firmie Sophos.

Szybszy powrót do normalności, ale kopie zapasowe wciąż zbyt rzadkie

Raport Sophos wskazuje również, że aż 45% firm z branży handlu detalicznego zdołało zatrzymać atak zanim doszło do zaszyfrowania danych. Jeszcze w zeszłym roku udało się to tylko 39% badanych. Jeśli jednak dojdzie do przejęcia informacji przez cyberprzestępców informacji, kluczowe znaczenie w ich odzyskaniu mają wykonywane we własnym zakresie kopie zapasowe (backup). Z tej opcji skorzystało tylko 62% zaatakowanych firm zajmujących się handlem detalicznym, co stanowi najniższy wynik od czterech lat. Jednocześnie aż 58% ofiar ransomware zapłaciło okup, aby odzyskać dane.

Średni koszt powrotu do pełnej sprawności, nie licząc zapłaconego okupu, wyniósł w tym roku 1,65 mln dolarów, czyli o 40% mniej niż w 2024 r. Firmy z branży handlu detalicznego coraz szybciej odbudowują się po incydencie – 51% z nich udało się to w ciągu tygodnia (rok wcześniej odsetek ten wynosił 46%).

Skuteczne strategie bezpieczeństwa bazują na zarządzaniu ryzykiem. Aby je właściwie ocenić i kontrolować, firmy muszą mieć pełny wgląd w środowisko zagrożeń, w zasoby, które chcą chronić oraz w swój poziom zabezpieczeń. Przedsiębiorstwa, które przyjmują proaktywne podejście do cyfrowej ochrony, potrafią nie tylko skuteczniej zapobiegać atakom, ale też znacznie szybciej się po nich podnosić. To podejście łączy zarządzanie zasobami, regularne aktualizacje aplikacji i systemów oraz wykorzystanie usług do monitorowania i reagowania na zagrożenia
– podkreśla Chester Wisniewski.

Chociaż firmy handlowe powinny zachowywać czujność przez cały rok, to okres sezonowych wyprzedaży wymaga od nich szczególnej uwagi. Wzmożony ruch na platformach e-commerce to dla cyberprzestępców idealny moment, aby nie tylko wykorzystać luki w zabezpieczeniach sklepów, ale także uderzyć w samych konsumentów. Oszuści, oprócz ataków ransomware, przygotowują fałszywe wiadomości e-mail, SMS-y oraz posty w mediach społecznościowych z pozornie atrakcyjnymi promocjami, które w rzeczywistości prowadzą do stron wyłudzających dane osobowe, loginy i hasła czy informacje płatnicze. Dlatego zarówno sprzedawcy, jak i klienci, powinni zachować w tym okresie szczególną ostrożność.

Raport Sophos „State of Ransomware in Retail 2025” dostępny jest na stronie https://www.sophos.com/en-us/whitepaper/state-of-ransomware-in-retail

O badaniu

Dane do raportu „State of Ransomware in Retail 2025” pochodzą z niezależnego badania przeprowadzonego wśród 361 przedstawicieli firm z branży handlu detalicznego. Ankietowane przedsiębiorstwa zatrudniały od 100 do 5 tys. pracowników i pochodziły z 16 krajów. Badanie zrealizowano między styczniem a marcem 2025 r., a respondenci odpowiadali na pytania dotyczące doświadczeń związanych z ransomware z ostatnich 12 miesięcy.

Opublikowane w

Kryzys kadr w cyberbezpieczeństwie – wypalenie zawodowe może kosztować firmy tysiące dolarów.

Overworked male entrepreneur sits at home office while took off glasses massages bridge of his nose with eyes closed, exhausted man suffering from heavy headache and fatigue. Health problem at work.

Aż 76% przebadanych przez Sophos specjalistów ds. cyberbezpieczeństwa na świecie deklaruje, że w minionym roku doświadczyło zmęczenia pracą lub wypalenia zawodowego. Co piąty z nich przyznaje, że problem ten ma stały charakter, a 69% zauważa pogorszenie sytuacji w 2024 roku w porównaniu z rokiem poprzednim.

W rozpoczynającym się Europejskim Miesiącu Cyberbezpieczeństwa eksperci Sophos przypominają, że dbanie o dobrostan zespołów odpowiedzialnych za ochronę IT nie może być sprawą drugorzędną. To element, który bezpośrednio wpływa na odporność całej organizacji na cyberzagrożenia.

Złożone przyczyny wypalenia zawodowego w branży IT

Źródła wypalenia zawodowego wśród zespołów cyberbezpieczeństwa są złożone. Problem nie sprowadza się wyłącznie do długich godzin pracy czy presji ze strony przełożonych.

Badanie Sophos pokazuje, że jedną z najczęściej wskazywanych przyczyn jest konieczność ciągłego dostosowywania się do zmian w infrastrukturze IT. Dla 34% ankietowanych obciążeniem są wciąż zmieniające się cyberzagrożenia, a 30% dostrzega negatywny wpływ częstych zmian priorytetów w firmie.

Przeciążony zespół to zagrożona firma

Bez odpowiedniej reakcji wypalenie zawodowe może mieć kaskadowe skutki. Odbija się ono zarówno na samopoczuciu pracowników, jak i na odporności całego przedsiębiorstwa.

Prowadzi do chronicznego stresu, spadku satysfakcji z pracy, problemów ze zdrowiem psychicznym i fizycznym, a także wpływa na relacje osobiste.

Co czwarty badany, który zgłaszał zmęczenie lub wypalenie zawodowe, rozważał zmianę kariery lub roli w zespole, a co piąty – zrezygnowanie z pracy. Z kolei 29% specjalistów musiało wziąć urlop, aby poradzić sobie ze skutkami zmęczenia.

Straty finansowe wynikające z wypalenia zawodowego

Skala problemu nie kończy się na indywidualnych doświadczeniach pracowników. Badania przeprowadzone przez nowojorską uczelnię CUNY pokazują, że wypalenie i brak zaangażowania mogą kosztować pracodawców od 4 000 do nawet 21 000 dolarów rocznie na jednego pracownika.

Zmęczeni specjaliści częściej popełniają błędy, wolniej reagują na incydenty oraz mogą przeoczyć istotne sygnały ostrzegawcze. W efekcie wzrasta ryzyko udanych cyberataków, które mogą prowadzić do poważnych zakłóceń operacyjnych i strat finansowych.

Eksperci Sophos: wypalenie zawodowe to zagrożenie dla biznesu

Tired Afro American businessman is massaging his nose bridge while working with a computer in office late in the evening, his colleagues near.

Wypalenie zawodowe w obszarze cyberbezpieczeństwa to nie tylko wyzwanie dotyczące pracowników, ale także realne zagrożenie dla biznesu. Lekceważenie tego problemu to jak zostawienie otwartych drzwi dla cyberprzestępców – w konsekwencji bezpośrednio uderza w odporność całej firmy, jej reputację oraz wyniki finansowe.

Dlatego przedsiębiorstwa muszą łączyć zaawansowane rozwiązania techniczne ze strategią wspierającą pracowników. Powinna ona obejmować lepsze zarządzanie obciążeniem obowiązkami oraz wykorzystanie narzędzi, które mogą odciążyć zespoły – takich jak rozwiązania do monitorowania zagrożeń i reagowania na nie.

— Tom Gorup, wiceprezes ds. operacji bezpieczeństwa w Sophos

Europejski Miesiąc Cyberbezpieczeństwa – czas na refleksję

Miesiąc Cyberbezpieczeństwa to dobra okazja, by przypomnieć, że skuteczna ochrona przed cyberzagrożeniami nie opiera się wyłącznie na nowoczesnych narzędziach i automatyzacji.

To przede wszystkim troska o dobrostan pracowników, którzy stoją na pierwszej linii obrony przed cyberatakami. Wspierając ich kondycję psychiczną i fizyczną, firmy dbają nie tylko o morale zespołów, ale przede wszystkim o własną odporność operacyjną.

Pełny raport dostępny jest pod adresem:
https://www.sophos.com/en-us/content/addressing-cybersecurity-burnout

O raporcie Sophos „The Human Cost of Vigilance. Addressing Cybersecurity Burnout in 2025”

Raport bazuje na odpowiedziach 5 000 specjalistów ds. IT oraz cyberbezpieczeństwa z 17 krajów. Ankieta została przeprowadzona w pierwszym kwartale 2025 roku, a uczestnicy opowiadali o swoich doświadczeniach z ostatnich 12 miesięcy.

Badanie pozwala lepiej zrozumieć, jak zmęczenie i stres wpływają na skuteczność zespołów IT oraz na bezpieczeństwo organizacji w obliczu rosnącej liczby zagrożeń.

Opublikowane w

Od prokrastynacji po brak narzędzi– jak firmy otwierają drzwi cyberprzestępcom?

Jak pokazuje globalne badanie firmy Sophos, w ostatnim roku do ataków ransomware na firmy najczęściej dochodziło z powodu nieuświadomionych podatności w zabezpieczeniach (40% wskazań), znanych, lecz zignorowanych słabych punktów infrastruktury IT (38%) oraz zawodnych narzędzi ochronnych, które nie były w stanie powstrzymać ataku (37%). Respondenci z różnych branż wskazywali odmienne czynniki stojące za naruszeniami systemów w ich przedsiębiorstwach, co odzwierciedla specyficzne wyzwania dotyczące cyberbezpieczeństwa w poszczególnych obszarach działalności. Jednak niezależnie od branży, brak proaktywnej strategii ochrony zostawia cyberprzestępcom przestrzeń do działania.

Atakujący aktywnie korzystają z możliwości wchodzenia do systemów swoich ofiar poprzez luki w zabezpieczeniach, których obecności administratorzy IT w firmach nie są świadomi. Na ten czynnik jako główny powód incydentów wskazali respondenci badania pracujący w szkolnictwie wyższym (49%), usługach profesjonalnych i handlu detalicznym (po 46%) oraz w finansach i ubezpieczeniach (44%). Zapewnienie pełnej widoczności i szybkiego wykrywania takich podatności, szczególnie gdy infrastruktura jest rozproszona i ma wiele punktów dostępu do sieci, stanowi niemałe wyzwanie.

Drugą stroną problemu z lukami w zabezpieczeniach jest bagatelizowanie znanych podatności. Na to źródło ataków ransomware wskazało 45% respondentów pracujących w administracji rządowej, 42% z branży IT i telekomunikacji oraz 41% w budownictwie i nieruchomościach. Powody takiego stanu rzeczy mogą być różne: od zwykłej prokrastynacji i przesuwania priorytetów biznesowych, przez ograniczenia budżetowe oraz kadrowe, po brak akceptacji dla przerw serwisowych. Niezależnie od przyczyny, skutek jest ten sam: pozostawione otwarte drzwi, z których cyberprzestępcy chętnie korzystają.

– Nigdy nie można zakładać, że luka, która dziś nie sprawia problemu, nie zostanie wykorzystana przez cyberprzestępców jutro. Każda podatność może stać się punktem wejścia ataku, zagrażając nie tylko pojedynczemu urządzeniu, ale całemu systemowi IT w firmie. Regularne skanowanie sieci pod kątem niezałatanych luk w zabezpieczeniach, natychmiastowe wdrażanie poprawek oraz okresowe testy penetracyjne powinny być standardem, a nie wyjątkiem w polityce bezpieczeństwa. Narzędzia, które nie są poddawane testom, stanowią jedynie iluzję ochrony – podkreśla Chester Wisniewski, dyrektor ds. technologii w firmie Sophos.

Łańcuch klawiszy z ikonami kłódek, przerwany czerwonym klawiszem z symbolem otwartego zabezpieczenia – wizualizacja luki w ochronie danych.

Gdy brakuje ludzi i umiejętności…

Nawet najbardziej zaawansowane systemy zabezpieczeń tracą skuteczność, jeśli nie korzystają z nich odpowiednio wyszkoleni specjaliści. Ponad 40% respondentów z branży energetycznej, przemysłowej oraz budowlanej wskazało, że najczęstszą przyczyną udanego ataku ransomware w ich przedsiębiorstwach był brak wystarczającej wiedzy lub umiejętności, które pozwoliłyby wykryć i zatrzymać atak ransomware na czas. W ochronie zdrowia oraz szkolnictwie główną słabością, która doprowadziła do ataku, okazał się niedobór personelu odpowiedzialnego za stałe monitorowanie infrastruktury IT. Wspólnym mianownikiem w obu przypadkach był brak zdolności do szybkiego wykrycia i neutralizacji zagrożenia w momencie, gdy jest ono jeszcze możliwe do opanowania.

– Stały monitoring bezpieczeństwa systemów IT jest krytycznym elementem utrzymania ciągłości ich działania oraz ochrony przed atakami. Firmy, które nie mają własnych zespołów odpowiedzialnych za wykrywanie incydentów i reagowanie na nie, mogą skorzystać z zewnętrznych ekspertów, zyskując w ten sposób całodobową ochronę swojej sieci. Do zabezpieczenia złożonych środowisk warto rozważyć wdrożenie takich systemów jak EDR (Endpoint Detection Response) czy XDR (Extended Detection Response), które gromadzą dane z różnych źródeł, zapewniają analizę podatności w szerokiej skali oraz umożliwiają automatyczne reagowanie na incydenty – wskazuje Chester Wisniewski.

Wielowarstwowe zabezpieczenia w walce z ransomware

Jak wykazało badanie Sophos, istnieją również branże, w których zagrożenie atakami ransomware wynika przede wszystkim z braku wdrożenia niezbędnych zabezpieczeń. W podmiotach świadczących usługi finansowe aż 44% respondentów przyznało, że nie posiadało wymaganych narzędzi ochronnych, a w samorządach lokalnych odsetek ten wyniósł 40%. W niektórych przypadkach to właśnie zawodne zabezpieczenia nie były w stanie powstrzymać ataku. Z takim problemem najczęściej mierzyły się firmy z branży medialnej i rozrywkowej (41%) oraz transportu i logistyki (41%).

Skuteczna obrona przed ransomware zaczyna się dużo wcześniej niż moment ataku. Połączenie proaktywnej ochrony urządzeń, stałego monitoringu i pracy posiadającego odpowiednie kompetencje zespołu pozwala wykrywać zagrożenia i reagować, zanim wyrządzą one szkody. W środowisku, w którym cyberprzestępcy stale szukają najsłabszego punktu zabezpieczeń, taka wielowarstwowa architektura pozwala na utrzymanie szczelności cyfrowej ochrony.

Raport „State of Ransomware 2025” dostępny jest pod adresem: www.sophos.com/en-us/content/state-of-ransomware

Opublikowane w

Brak ludzi, wiedzy i zabezpieczeń – raport Sophos pokazuje podatności na cyberataki

Już trzeci rok z rzędu podatności w systemach IT są najczęstszą przyczyną powodzenia ataków ransomware na firmy na świecie – wynika z raportu „State of Ransomware 2025” firmy Sophos. Aż 40 proc. przedsiębiorstw, które w ciągu ostatniego roku padły ofiarą cyberataków, przyznało, że zabrakło im specjalistycznej wiedzy, aby skutecznie przeciwdziałać zagrożeniom. Tyle samo firm dowiedziało się o lukach w ochronie swoich systemów dopiero po ataku. Co więcej, 39 proc. badanych wskazało niedobory kadrowe w zespołach ds. bezpieczeństwa jako jedną z głównych przyczyn skuteczności ataków.

Tegoroczna edycja raportu po raz pierwszy analizowała wewnętrzne przyczyny podatności na ransomware w firmach. Respondenci wskazywali średnio 3 czynniki, które przyczyniły się do skutecznego ataku na ich zasoby. Analiza Sophos wskazuje, że nie ma jednego dominującego źródła ryzyka. Zagrożenia rozłożyły się niemal równomiernie między niewystarczającą ochronę zasobów IT (63 proc. firm), braki kadrowe i sprzętowe (63 proc. firm) oraz luki w zabezpieczeniach. Te ostatnie – zarówno znane, jak i nieuświadomione – wskazało aż 65 proc. firm.

Mniej szyfrowania, więcej szantażu – tak zmienia się oblicze ransomware

Odsetek ataków ransomware, w których dane zostały zaszyfrowane,wyniósł 50 proc. To nie tylko znaczny spadek w porównaniu z 2024 rokiem (70 proc.), ale również najniższy wynik od sześciu lat. Nie oznacza to jednak, że zagrożenie maleje – zmienia się tylko jego charakter. Cyberprzestępcy rekompensują szyfrowanie danych innymi formami nacisku na przedsiębiorstwa. Co ósma firma (14 proc.), która padła ofiarą ransomware, oraz niemal co trzecia, której dane zostały zaszyfrowane w tym roku, doświadczyła także kradzieży informacji.

Co istotne, większe przedsiębiorstwa, którym zaszyfrowano dane, są prawie o 40 proc. bardziej narażone na ich kradzież niż mniejsze podmioty. Jednocześnie podwaja się liczba ataków polegających wyłącznie na szantażu – czyli takich, w których przestępcy nie szyfrują danych, ale wykradają je i grożą ujawnieniem. Ich udział wzrósł rok do roku – z 3 do 6 proc.

– Skuteczna ochrona przed cyberzagrożeniami bazuje na kilku filarach: eliminowaniu luk w zabezpieczeniach poprzez regularne aktualizacje systemowe, ochronie urządzeń końcowych za pomocą rozwiązań zatrzymujących złośliwe oprogramowanie czy stałym monitorowaniu zagrożeń. Im szybciej uda się wykryć atak, tym łatwiej go powstrzymać. Dlatego warto posiadać własne centrum operacji bezpieczeństwa lub korzystać z zewnętrznych usług MDR, zapewniających monitoring i reagowanie na incydenty. Ostatnim filarem jest przygotowanie planu awaryjnego i procedur postępowania na wypadek ataku. Zapobieganie, ochrona, szybka reakcja oraz gotowość do odtworzenia sprawności systemów po ataku mogą znacznie obniżyć ryzyko i koszty incydentu – wskazuje Chester Wisniewski, dyrektor ds. technologii w firmie Sophos.

Co druga firma zapłaciła okup, aby odzyskać dane

Aż 97 proc. firm, którym przestępcy zaszyfrowali dane, odzyskało swoje pliki. Tylko 54 proc. wykorzystało do tego kopie zapasowe, co stanowi najniższy wynik od sześciu lat. Z kolei prawie połowa firm (49 proc.) zdecydowała się zapłacić okup. Co trzecia firma wykorzystała również alternatywne metody do odzyskania danych, takie jak publicznie dostępne klucze deszyfrujące.

Z danych Sophos wynika również, że w 2025 r. zmniejszyły się sumy żądane przez cyberprzestępców, a także rzeczywiście płaconych okupów. Mediana kwoty żądanej przez napastników wyniosła 1,32 mln dolarów (spadek o 34 proc. r/r), a mediana płatności – 1 mln dolarów (o połowę mniej niż w 2024 r.). W większości przypadków (53 proc.) zaatakowanym firmom udało się wynegocjować niższą stawkę okupu. Tymaczasem 29 proc. zapłaciło pełną żądaną kwotę, a 18 proc. wydało więcej niż zakładano na początku.

Średnio koszt pełnego przywrócenia działalności po ataku wyniósł w tym roku 1,53 mln dolarów i był aż o 44 proc. niższy niż rok temu. Jednocześnie do 53 proc. wzrósł odsetek firm, którym udało się wrócić do sprawności operacyjnej w ciągu tygodnia (jedynie 35 proc. w 2024 roku).

– Spadająca wysokość okupów i coraz częstsze negocjowanie stawek to pozytywny sygnał. Cieszy szczególnie fakt, że największy spadek dotyczy realnie wypłacanych przestępcom kwot. Mimo to milion dolarów to wciąż ogromne obciążenie finansowe dla wielu przedsiębiorstw. Tym bardziej niepokoi, że tylko połowa ofiar ataków ransomware sięgnęła po kopie zapasowe, aby odzyskać swoje dane. Backup powinien być podstawowym elementem strategii ciągłości działania każdej firmy. Trzeba jednak pamiętać, że samo posiadanie kopii to za mało. Kluczowe jest ich regularne testowanie, by mieć pewność, że w krytycznym momencie naprawdę zadziałają – podkreśla Chester Wisniewski. Raport „State of Ransomware 2025” dostępny jest pod adresem: https://www.sophos.com/en-us/content/state-of-ransomware

 
Opublikowane w

Miliony z ataków na legalne start-upy i restauracje. W co inwestują cyberprzestępcy?

Cyberprzestępcy coraz częściej inwestują zarobione na atakach pieniądze w legalne biznesy – wynika z analizy ekspertów Sophos. Zakładają startupy, otwierają restauracje czy prowadzą kursy programowania. Według raportu State of Ransomware 2024 średnia wartość okupu płaconego przez firmy wyniosła dwa miliony dolarów – aż pięciokrotnie więcej niż rok wcześniej. Pozornie legalne biznesy pozwalają hakerom na upłynnianie dużych kwot bez pozostawiania śladów.

Ataki ransomware, kradzieże danych oraz phishing generują milionowe zyski, uzyskiwane głównie w kryptowalutach. Jak wynika z raportów Sophos, nawet 30% żądań okupu w ramach ataków ransomware opiewa na kwotę ponad 5 milionów dolarów. Kwestia tego, co dzieje się później z tymi pieniędzmi, nie przyciągała dotąd uwagi. Analitycy firmy Sophos przeanalizowali dyskusje przestępców na forach w darknecie, dostępne dane korporacyjne oraz ruchy portfelowe i odkryli, że nielegalnie pozyskane zyski są inwestowane zarówno w działalność przestępczą, jak i w legalne biznesy.

– Nie mówimy już tylko o tradycyjnym praniu brudnych pieniędzy. To, co obserwujemy w hakerskim podziemiu, to nowa forma przedsiębiorczej przestępczości – kryminaliści wchodzą na rynek jako legalni biznesmeni. Stając się pracodawcami i inwestorami, są paradoksalnie bardziej niewidoczni niż kiedykolwiek – wyjaśnia John Shier, Field CISO w Sophos.

W wielu przypadkach do nawiązywania kontaktów biznesowych oraz realizowania inwestycji cyberprzestępcy wykorzystują powszechnie znane kanały, takie jak Telegram czy WhatsApp Business. Firmy – przynajmniej na papierze – często wyglądają profesjonalnie, mają atrakcyjny dla inwestorów model biznesowy i sprawiają wrażenie w pełni legalnych.

Śladem okupów: nieruchomości, złoto, restauracje i NGO

https://www.sophos.com/en-us/press/press-releases/2024/04/ransomware-payments-increase-500-last-year-finds-sophos-state?utm_source=chatgpt.com

Hakerzy lokują swoje środki w firmach i startupach z branży cyberbezpieczeństwa oraz IT. Pozwala im to na poszerzenie swojej wiedzy, zdobycie środków i infrastruktury na potrzeby kolejnych ataków. Analitycy Sophos zaobserwowali, że cyberprzestępcy inwestują też w organizacje pozarządowe czy instytucje edukacyjne, które pozwalają działać niezauważenie – zakładać szkoły programowania czy organizować projekty edukacyjne pod pozorem aktywności non-profit. Pranie pieniędzy ułatwiają też biznesy ze sporym przepływem gotówki i niewielkim nadzorem, takie jak restauracje i bary, ale też hurtownie tytoniu i alkoholu.

Środki z cyberataków lokowane są również w nieruchomościach, akcjach czy metalach szlachetnych (złoto, diamenty), które pozwalają hakerom na osiąganie stosunkowo łatwego i legalnego dochodu pasywnego. Transakcje najczęściej zawierane są w krajach o stabilnej jurysdykcji, takich jak Szwajcaria, USA czy Zjednoczone Emiraty Arabskie.

Oprócz prowadzenia legalnych biznesów, hakerzy wciąż działają też w szarej strefie. Prowadzą kasyna i inne usługi hazardowe, często rejestrowane w tzw. rajach podatkowych. Zajmują się tworzeniem i rozprowadzaniem fałszywych dokumentów (szczególnie w krajach azjatyckich), prowadzą platformy pornograficzne czysklepy z podrabianymi lekami. Analizowane przypadki dotyczyły niemal każdego zakątka globu – Wielkiej Brytanii, Szwajcarii, Stanów Zjednoczonych, Zjednoczonych Emiratów Arabskich, Chin, Korei Południowej czy Gibraltaru.

– Granice między przestępczością w świecie cyfrowym a rzeczywistym coraz bardziej się zacierają i właśnie to jest niebezpieczne. Jedynym sposobem na rozwiązanie tego problemu jest zacieśnienie współpracy między sektorem prywatnym i publicznym, szczególnie między firmami zajmującymi się cyberbezpieczeństwem a lokalnymi organami ścigania. Analitycy zagrożeń powinni dzielić się swoimi ustaleniami z władzami, które mogą śledzić potencjalne operacje przestępców. W końcu ktoś, kto dziś zakłada pozornie legalną firmę, jutro może ponownie zaatakować w sieci – podsumowuje John Shier. Więcej informacji o analizie można znaleźć na blogu Sophos: https://news.sophos.com/en-us/tag/beyond-the-kill-chain

Opublikowane w

Przyszłość cyberbezpieczeństwa: trendy na 2025 rok według ekspertów Sophos

sophos cybersecurity w 2025 roku

Trendy cybersecurity w 2025 r.

W 2025 r. zespoły ds. bezpieczeństwa IT powinny przygotować się na rosnącą pomysłowość przestępców, którzy wykorzystują zaawansowane technologie oraz taktyki odwracające uwagę od faktycznych celów ataku. Jak wskazuje ekspert firmy Sophos, dla osób odpowiedzialnych za reagowanie na incydenty kluczowe będzie wdrożenie wielowarstwowego, elastycznego podejścia do bezpieczeństwa, aby skutecznie chronić firmowe sieci przed coraz bardziej złożonymi atakami.
Chester Wisniewski, dyrektor ds. technologii w firmie Sophos, podkreśla, że warto skorzystać z doświadczeń z 2024 r., aby lepiej przygotować się na możliwe scenariusze ataków i wejść w nowy rok pewniejszym krokiem. Wskazuje również na sześć trendów, które mogą kształtować obszar cyberbezpieczeństwa w 2025 r.

Ataki coraz częściej kierowane na chmurę

W miarę jak przedsiębiorstwa coraz lepiej chronią urządzenia końcowe za pomocą narzędzi do wykrywania zagrożeń i reagowania na nie (EDR – Endpoint Detection and Response) oraz powszechnie wdrażają uwierzytelnianie wieloskładnikowe, atakujący coraz częściej zwracają uwagę na zasoby chmurowe. Przechowywane w nich dane są często niewystarczająco zabezpieczone, a celem dla cyberprzestępców stają się już nie tylko hasła, ale również tokeny uwierzytelniające i pliki cookie z przeglądarek.

AI „demokratyzuje” cyberprzestępczość

Narzędzia i techniki stosowane dotąd przez profesjonalnych cyberprzestępców trafiają do zbiorów danych uczących sztuczną inteligencję. Dzięki temu nawet osoby o niewielkich umiejętnościach są w stanie stworzyć np. treści phishingowe czy kod oprogramowania ransomware. Chociaż takie ataki cechują się raczej niską skutecznością, ich liczebność i częstotliwość utrudniają pracę osobom odpowiedzialnym za bezpieczeństwo struktur IT, a tym samym otwierają furtkę dla bardziej zaawansowanych cyberprzestępców.

Cybernetyczna zasłona dymna

Oszuści coraz częściej sięgają po tzw. ataki pozorujące, aby odwrócić uwagę ofiary od prawdziwego celu. Mniejsze operacje cyberprzestępców, głównie o charakterze dywersyjnym, pochłaniają czas i zasoby zespołów reagowania na incydenty, osłabiając skuteczność całego systemu zabezpieczeń. W ten sposób układ sił przesuwa się na korzyść przestępców, nawet przy prawidłowo wdrożonych i skonfigurowanych rozwiązaniach ochronnych.

Wszyscy za jednego

Atakujący działają wszędzie tam, gdzie widzą okazję do zysku, a ich celem mogą stać się różne podmioty. Coraz większe zagrożenie stanowią ataki na łańcuchy dostaw oprogramowania. Oznacza to, że atak na jedną firmę może wpłynąć także na jej partnerów czy klientów. Daje to cyberprzestępcom większe możliwości nacisku na ofiary, np. przy żądaniu okupu.

Duże modele językowe w służbie przestępców

Przestępcy łączą różne narzędzia bazujące na dużych modelach językowych do przeprowadzania bardziej złożonych ataków. Sztuczna inteligencja pomaga im już nie tylko w pisaniu linijek złośliwego kodu, ale również w tworzeniu fałszywych stron internetowych, treści audio i wideo, ze szczególnym uwzględnieniem deepfake’ów.

Maksymalizacja korzyści z przeprowadzenia ataku

Cyberprzestępcy coraz częściej stosują podejście tzw. podwójnego uderzenia. Oznacza to, że po złamaniu zabezpieczeń ofiary wykonują kolejną czynność. Przykładowo, kradnąc kryptowaluty, jednocześnie mogą przejąć pliki cookies czy dane osobowe wykorzystywane później do kolejnych ataków, zwiększając tym samym poziom zyskowności przedsięwzięcia. Zdarza się również, że do wymienionych działań dołącza atak DDoS (Distributed Denial of Service), który poprzez zablokowanie dostępu do zasobów czy usług, tym bardziej paraliżuje systemy ofiary i utrudnia czynności obronne.

 
Opublikowane w

Phishing w świątecznym opakowaniu – oszuści polują na nieostrożnych internautów

Jeden na dziesięciu polskich internautów padł ofiarą cyberataku w ciągu ostatnich 12 miesięcy, a niemal połowa zetknęła się z próbami oszustwa w sieci – wynika z badania firmy Sophos.

Przedświąteczny czas to doskonała okazja dla cyberprzestępców, aby sprytnie wykorzystać pośpiech i rozproszoną uwagę użytkowników sieci.

  • Oszuści najczęściej wykorzystywali wiadomości SMS oraz e-maile do podszywania się pod znane sklepy internetowe, firmy i instytucje.
  • W wyniku ataku 30% ofiar straciło pieniądze, a 23% – dostęp do konta.
  • Przestępcy najczęściej podawali się za przedstawicieli firm kurierskich, banków i ubezpieczycieli

Najnowszy raport dotyczący cyberprzestępstw

Kraków, 17 grudnia 2024 r. – Co dziesiąty polski internauta padł ofiarą cyberataku w ciągu ostatnich 12 miesięcy – wynika z badania przeprowadzonego na zlecenie firmy Sophos. Prawie połowa (48%) respondentów zadeklarowała też, że zetknęła się z próbą oszustwa w sieci. Najpopularniejszą metodą stosowaną przez cyberprzestępców był phishing. W okresie przedświątecznej gorączki zakupowej warto zatem przypomnieć, że oszuści chętnie wykorzystują ten czas, aby udawać firmy kurierskie lub platformy zakupowe.

Phishing to rodzaj cyberataku, który polega na podszywaniu się oszustów pod inną osobę lub znaną instytucję w celu wyłudzenia pieniędzy lub poufnych danych. Cyberprzestępcy coraz częściej stosują wyrafinowane techniki socjotechniczne do manipulowania emocjami ofiary i wywierania na niej presji czasowej. Skutki udanych ataków mogą być bardzo dotkliwe. Wśród badanych przez Sophos, którzy padli ofiarą cyberprzestępców – 30% straciło pieniądze, 23% utraciło dostęp do konta, a 21% doświadczyło wycieku wrażliwych informacji. Z kolei jeden na dziesięć internautów bezpowrotnie stracił dane po ich zaszyfrowaniu.

Phishing niejedno ma imię

Oszuści jako nośnik phishingowych treści najczęściej wykorzystywali wiadomości SMS (44% wskazań) oraz e-maile (43%), w których naśladowali znane i zaufane instytucje. W ten sposób nakłaniali odbiorców do kliknięcia w zamieszczony link prowadzący do fałszywych stron. Co czwarty badany doświadczył prób oszustwa za pośrednictwem komunikatorów internetowych, takich jak Messenger czy WhatsApp, a 23% respondentów spotkało się z oszustwem telefonicznym.

– Wyniki badania potwierdzają, że przestępcy coraz częściej prowadzą wielokanałowe, przemyślane akcje phishingowe, aby zwiększyć szansę ich powodzenia. Jeśli użytkownik ulegnie i kliknie w złośliwy link lub poda poufne informacje, musi być przygotowany na poważne konsekwencje. Warto przypomnieć, że przy ocenie, czy mamy do czynienia z próbą oszustwa kluczowe jest zwrócenie uwagi na kilka istotnych elementów: nakładanie presji czasowej i zmuszanie do podjęcia konkretnych działań, niespodziewane otrzymanie danej wiadomości, literówki w jej treści czy podejrzany adres nadawcy – podkreśla Chester Wisniewski, dyrektor ds. technologii w firmie Sophos.

Uwaga na świąteczne oszustwa

Badani internauci wskazali, że przestępcy szczególnie często podszywają się pod firmy kurierskie (40%), banki lub ubezpieczycieli (30%), a także pod sklepy internetowe (25%). W ostatnich dniach przed Bożym Narodzeniem, gdy klienci gorączkowo kompletują prezenty przeszukując sieć, cyberprzestępcy zyskują wyjątkową sposobność na przeprowadzenie skutecznego ataku. W tym czasie warto poświecić czas na weryfikację stron oraz nadawców wiadomości, z którymi wchodzi się w interakcję.

– W ostatnich momentach przedświątecznego szału zakupowego należy zachować szczególną czujność. Oszuści nie przepuszczą okazji, aby wyłudzić pieniądze lub wrażliwe informacje. Przed kolejną płatnością czy otwarciem wiadomości od rzekomego kuriera użytkownik powinien upewnić się, że korzysta z bezpiecznej, autoryzowanej strony, a treść wiadomości jest zgodna z jego zamówieniem. Jeśli cokolwiek wzbudza wątpliwość, warto skontaktować się ze sklepem czy firmą przewozową i sprawdzić, czy to od nich pochodzi dana próba kontaktu – wskazuje Chester Wisniewski.

Jak się chronić przed cyber atakami?

Z odpowiedzi respondentów wynika, że najczęściej klikają oni w link lub załącznik dołączony do wiadomości e-mail lub SMS, gdy pochodzi ona od zaufanego nadawcy (77%) oraz gdy spodziewali się danej informacji (60%). Na taki ruch decydują się również, gdy strona, do której prowadzi link, nie budzi ich wątpliwości (43%) lub gdy wcześniej wyrazili zgodę na otrzymywanie określonych treści (34%). Duże znaczenie dla badanych ma również istotność sprawy, której dotyczy wiadomość, np. w kwestii rachunków czy spraw urzędowych.

W obliczu wzmożonej aktywności cyberprzestępców, zwłaszcza w okresie przedświątecznym, warto pamiętać o podstawowych zasadach bezpieczeństwa w sieci. Oprócz uważnego przeanalizowania wiarygodności wiadomości, załączników i linków, należy również pamiętać o korzystaniu z oprogramowania ochronnego oraz o regularnym aktualizowaniu systemu operacyjnego i aplikacji.

Nie można zapominać o ochronie komputerów osobistych. Sophos oferuje rozwiązania skierowane do użytkowników domowych, które świetnie sprawdzą się nie tylko podczas przedświątecznych promocji, ale przez cały rok.

Sophos Home to zaawansowane oprogramowanie typu Anti-Malware, które zapewnia ochronę na poziomie korporacyjnym, jednocześnie pozostając prostym w obsłudze nawet dla mniej doświadczonych użytkowników. Umożliwia zarządzanie zabezpieczeniami aż 10 urządzeń z systemem Windows lub macOS za pomocą intuicyjnej konsoli dostępnej w chmurze.

Drugim interesującym rozwiązaniem jest Sophos Firewall Home – w pełni funkcjonalna zapora sieciowa, dostępna za darmo dla użytkowników prywatnych. To idealna opcja dla osób bardziej zaawansowanych, które interesują się tematyką bezpieczeństwa sieciowego. Ta wersja oprogramowania, choć darmowa, oferuje funkcje znane z komercyjnych zapór sieciowych Sophos. Jest to gotowy system operacyjny, który można uruchomić na dowolnym sprzęcie z architekturą x86, w tym na maszynach wirtualnych w urządzeniach NAS, takich jak QNAP czy Synology.

O badaniu

Badanie „Skala i metody cyberataków na polskich internautów” zostało zrealizowane w listopadzie 2024 r. metodą CAWI przez ośrodek Biostat na zlecenie firmy Sophos. Ankietą objęto 1000 polskich internautów. Tożsame badania, również na zlecenie Sophos, przeprowadzono w tym samym czasie w Czechach i na Węgrzech.

 
Opublikowane w

Case Study: Wdrożenie rozwiązania Synology w Idea Bank S.A.

Synology Active Backup for Business zwiększyło efektywność pracy administratorów odpowiedzialnych za przywracanie kopii komputerów użytkowników. Proces skrócił się czterokrotnie względem poprzednio stosowanych rozwiązań.

Grzegorz Smektała

Wykorzystywane modele:

  • RS3617xs+ × 2
  • RS18017xs+ × 2

Zalecane funkcje:

  • Active Backup for Microsoft 365 – chroni 2506 kont użytkowników i 1239 witryn SharePoint
  • Active Backup for Business – ochrona danych na 31 komputerach fizycznych oraz 175 maszynach wirtualnych
  • Snapshot Replication – Replikacja danych na osobne urządzenie w celu zwiększenia ochrony danych
 
Dzięki rozwiązaniu Synology Active Backup for Microsoft 365 udało się usprawnić działania operacyjne. Efektywność pracy administratorów odpowiedzialnych za tworzenie kopii zapasowych wszystkich operacji, w tym danych pocztowych i danych SharePoint wzrosła diametralnie względem poprzednio stosowanych rozwiązań, co znacząco poprawia wydajność pracowników. Rozwiązanie jest bezlicencyjne, więc nie musimy się martwić o odnowienie subskrypcji czy wykupienie dodatkowego wsparcia na kolejne lata.“
 
Przemysław Grzegorczyk
Administrator Systemów Microsoft, Zespół Systemów i Baz Danych
 
 

FIRMA

Idea Bank S.A. został stworzony, aby wspierać osoby przedsiębiorcze w realizacji ich marzeń o własnym biznesie. Bank służy pomocą w rozwijaniu działalności podmiotom gospodarczym: mikro, małym i średnim przedsiębiorcom. Oferuje kompleksowe i innowacyjne produkty bankowe, w tym konta, lokaty i kredyty, internetową platformę Idea Cloud/Chmurę Faktur, ChatBoty, kasoterminale #ideapay, a także udostępnia atrakcyjną ofertę leasingową i faktoringową. Wdraża nowoczesne technologie w bankowości internetowej oraz mobilnej. Idea Bank zatrudnia obecnie ponad 1000 pracowników i posiada 26 placówek bankowych. Idea Banka S.A. istnieje pod obecną nazwą od 2010, jest częścią grupy kapitałowej Getin Holding S.A.

Idea Bank S.A. jest laureatem wielu konkursów, w tym Edison Awards, Stevie Awards oraz Efma Accenture Distribution & Marketing Innovation Awards. Zyskuje także uznanie w niezależnych plebiscytach, takich jak konkurs Innovation2020 organizowany przez Stowarzyszenie Komunikacji Marketingowej SAR, w którym za rozwiązanie Video Bot otrzymał srebrną i drugą nagrodę w kategorii „Innowacyjny Biznes”. Idea Bank S.A. zdobył także Złoty Laur Klienta/Konsumenta 2020 i pierwszą nagrodę w kategorii „Konta firmowe” oraz Srebrny Laur Klienta/Konsumenta 2020 i drugą nagrodę w kategorii „Lokaty” za Lokatę Happy.

 

WYZWANIE

Powiedzenie „czas to pieniądz” sprawdza się w każdej firmie, ale jest szczególnie trafne w przypadku bankowości. Szanując czas swoich klientów, bank musi dysponować niezawodnym sprzętem i usługami. Jako bank działający na rynku regulowanym są również zobowiązani do prowadzenia kopii zapasowych wszystkich operacji, w tym danych pocztowych i danych SharePoint. Przed wdrożeniem Synology bank wykonywał ręczne kopie zapasowe, co okazało się zbyt czasochłonne. Aby usprawnić działania operacyjne, potrzebowali wydajniejszego rozwiązania do tworzenia kopii zapasowych danych platformy Microsoft 365 i zabezpieczania informacji o użytkownikach.

Kolejnym problemem były awarie stacji roboczych pracowników. Banki podlegają wielu wymogom bezpieczeństwa, które dotyczą aplikacji, programów i innych danych punktów końcowych – z których wszystkie muszą być chronione, ale często trudno je odzyskać. Awarie sprzętu, takie jak uszkodzenie dysku twardego, spowodowałyby utratę danych i przestoje w procesie naprawy. Bank szukał nowego rozwiązania do przywracania danych, aby zminimalizować utratę danych i zmaksymalizować dostępność.

 
Chcesz wiedzieć więcej o rozwiązaniach Synology?
Nasi eksperci z działu Advanced Technologies odpowiedzą na Twoje pytania. Kliknij, aby wysłać wiadomość. 
 
 

ROZWIĄZANIE

Idea Bank wdrożył dwa urządzenia RS3617xs +, każde z 12 dyskami o łącznej pojemności ponad 160 TB i zabezpieczone RAID 6. Usługa Active Backup for Microsoft 365 chroni obecnie 1252 kont użytkowników i 512 witryn SharePoint na jednym urządzeniu oraz 1254 użytkowników i 727 witryn na drugim.

Bank dodał również do swojej infrastruktury dwa urządzenia RS18017xs + i wykorzystał Active Backup for Business. Wykorzystując wyzwalane zdarzeniami i zaplanowane kopie zapasowe, bank zabezpiecza dane z 31 komputerów fizycznych i 175 maszyn wirtualnych.

Urządzenia Synology zapewniały również scentralizowane i skalowalne środowisko z systemem operacyjnym DiskStation Manager (DSM). Ten interfejs umożliwia scentralizowane zarządzanie zdalne, wyświetlanie historycznych danych kopii zapasowych, bieżące wykorzystanie pamięci masowej i aktywność związaną z transferem danych. Dzięki wbudowanym narzędziom do ochrony danych w czasie rzeczywistym, DSM ułatwia zadania przechowywania, tworzenia kopii zapasowych i odzyskiwania, a także automatyczne wykrywanie nowo utworzonych kont i witryn.

KORZYŚCI

Synology Active Backup for Business zwiększyło efektywność pracy administratorów odpowiedzialnych za przywracanie kopii komputerów użytkowników. Proces skrócił się czterokrotnie względem poprzednio stosowanych rozwiązań. –
 
Grzegorz Smektała
Lider Zespołu Administratorów Infrastruktury PC
 

Active Backup for Microsoft 365 i Active Backup for Business znacznie uprościły proces przywracania danych w banku. Utworzono kopie zapasowe i zarchiwizowano osobiste i udostępnione dane kont Microsoft i skrzynek pocztowych wraz z odpowiednimi folderami, strukturami i załącznikami. Ponadto opcja Account Discovery umożliwiła automatyczne tworzenie kopii zapasowych nowo wykrytych użytkowników, dodając ich do domeny w celu ograniczenia pracy ręcznej. Po przywróceniu aplikacje zachowały swoje konfiguracje, a komputery były gotowe do użycia. Użytkownicy nie musieli już zmieniać konfiguracji aplikacji ani pamiętać, gdzie znaleźć swoje dane.

Użycie funkcji Snapshot Replication między dwoma urządzeniami RS18017xs + przyspieszyło przywracanie danych z komputerów i systemów operacyjnych; replikując dane z jednego serwera NAS do innego poza siedzibą banku, bank mógł uzyskać dostęp do kopii zapasowych i przywracać kopie zapasowe z drugiej maszyny, nawet jeśli podstawowe miejsce docelowe kopii zapasowych stało się niedostępne.

Idea Bank wdrożył skalowalny, wydajny proces tworzenia kopii zapasowych i odzyskiwania danych w celu ochrony danych przed cyberatakami i maksymalizacji czasu pracy – bez opłat licencyjnych. Dziś ich zespół IT jest przekonany, że nie dojdzie do utraty danych z powodu awarii sprzętu, a ich odzyskanie będzie szybkie i łatwe.

Opublikowane w

5 zagrożeń dla bezpieczeństwa sieciowego przedsiębiorstw wg Sophos

Obecnie trudno wyobrazić sobie prowadzenie biznesu bez dostępu do sieci. Internet oferuje nowoczesne narzędzia pracy i w konsekwencji oszczędność czasu, lecz nie należy zapominać o drugiej stronie medalu. Poza niewątpliwymi korzyściami niesie również zagrożenia i wyzwania, którym należy sprostać.

Ochrona będzie tym skuteczniejsza im więcej dowiemy się na ich temat, lecz zdobywanie tej wiedzy to proces, a raczej ciągły wyścig i to bez wyznaczonej linii mety. Od czegoś trzeba zacząć. Spróbujmy zatem zdefiniować najczęściej spotykane zagrożenia z jakimi borykać mogą się małe i średnie przedsiębiorstwa.

Krajobraz zagrożeń

Według danych dostarczonych przez SophosLabs rozkład wykrywanych w 2017 roku zagrożeń przedstawiał się następująco:

Ransomware 26%

Advanced Malware 20%

Email Malware 20%

Web Malware 12%

Generic Malware 12%

Cryptocurrency Malware 8%

Pozostałe 2%

Ransomware

Cukierek albo psikus. Na podobnej zasadzie działa Ransomware. To złośliwe oprogramowanie, którego celem jest zaszyfrowanie danych i utrzymanie tego stanu do czasu opłacenia okupu.

Ofiara ataku traci dostęp do plików stając się niejako zakładnikiem hakerów oczekujących na swoją dolę w kryptowalucie za którą w zamian oferują dostarczenie kluczy niezbędnych do odszyfrowania plików. Dodatkowo stawiane jest ultimatum czasowe, którego przekroczenie powoduje wzrost żądanej kwoty tudzież groźbę zniszczenia kluczy użytych do zaszyfrowania danych.

Pomijając kwestie etyczne, co do zasady okupu nie należy płacić, gdyż tym samym zasilamy kiesę cyber-rozbójników bez gwarancji na odzyskanie danych.

Ze zjawiskiem ransomware spotykać będziemy się coraz częściej, gdyż jest to legalnie wątpliwy acz dochodowy biznes. Statystyki pokazują, że w zeszłym roku aż 54% przedsiębiorstw w mniejszym lub większym stopniu zetknęło się z problemem utraty dostępu do danych na skutek działania ransomware.

Wektory przeprowadzania tego typu ataków są bardzo różne i nie ma jednego powtarzającego się schematu. Każdy zapewne słyszał o WannaCry czy NotPetya czyli o dwóch najgłośniejszych atakach ransomware jakie miały miejsce w 2017 roku.

WannaCry

Pierwszy z nich, WannaCry, był robakiem bazującym na explocie EternalBlue wykorzystywanym przez Amerykańską Agencję Bezpieczeństwa Narodowego (NSA – National Security Agency). Narzędzia stworzone przez agencję wykorzystywały luki w protokole SMB dla Windows. Orogramowanie znane było również pod nazwą WannaCrypt0r, WannaCryptor, WCry i Wana Decrypt0r.

Atak przeprowadzony został w piątek 12go maja 2017 roku. Odbił się szerokim echem w mediach i dotknął ponad 230 tys. urządzeń w ponad 150 krajach.

Ofiarami padły niezaktualizowane stacje z systemami Windows oraz maszyny wykorzystujące niewspierane już przez producenta z Redmond systemy z rodziny XP. Skala ataku obnażyła jak wiele organizacji zapomina o konieczności aktualizowania oprogramowania systemowego i/lub korzysta z przestarzałych jego wersji.

Przebieg

Po dostaniu się do systemu, WannaCry rozpoczynał szyfrowanie danych za pomocą algorytmu AES-128, uniemożliwiającego dostęp do informacji. Pliki otrzymywały nowe rozszerzenia, takie jak .wcry, .wncryt czy .wncry.

Twórcy ransomware w tym przypadku żądali od użytkowników od 300 do 600 dolarów okupu transferowanego w walucie bitcoin. Szantażowana osoba miała na to 7 dni, później dane miały zostać bezpowrotnie usunięte. Dodatkowo WannaCry usuwał kopie wolumenów, które mogły posłużyć do przywrócenia utraconych danych.

WannaCry po infekcji urządzenia zaczynał szukać kolejnych podatnych systemów. Rozprzestrzeniał się samoistnie za pomocą usługi Dropbox czy innych usług do udostępniania plików.

Ochrona

Skala ataku zmotywowała poszukiwania remedium na zaszyfrowane pliki WannaCry. Odszyfrowanie danych WannaCry, wykorzystując obecne komputery mogłoby zająć nawet setki lat, co z oczywistych względów nie było opcją.

Wkrótce znaleziono lukę w oprogramowaniu WannaCry, która pozwoliła uratować informacje. Jeżeli użytkownik spełnił dwa warunki, nie wyłączył komputera od czasu infekcji i miał jeden ze starszych systemów Windows (XP, Vista, 7 lub Server 2003, 2008 i 2008 R2), można było odzyskać z pamięci RAM dwie liczby pierwsze, które umożliwiały odczyt klucza i odszyfrowanie plików za pomocą programu WanaKiwi. Więcej o metodzie tutaj: https://avlab.pl/pl/odszyfrowanie-plikow-po-ataku-ransomware-wannacry-jest-mozliwe-zobacz-jak-zrobic

Oprócz leczenia, ważne jest przede wszystkim zapobieganie. Łaty dla systemów Windows Vista lub nowszych, które blokowały wykorzystanie luki, dostępne były na co najmniej miesiąc przed atakiem. Chodzi o aktualizację oznaczoną jako MS17-010, dostępną z poziomu Microsoft Update.

Tuż po ataku doszło do precedensu. Microsoft po raz pierwszy w swojej historii opublikował łatę dla nie wspieranych już systemów z rodziny XP.

NotPetya

Drugi atak, NotPetya rozpoczął się od firm ukraińskich i dotknął również polskie przedsiębiorstwa, prawdopodobnie zarażone przez swoje wschodnie oddziały. Według najnowszych szacunków, ransomware przejął nawet 10% wszystkich komputerów na Ukrainie. 18 lutego 2018, dzień po dniu, 5 krajów wydało oświadczenie, wskazujące Rosję jako twórcę ataku (USA, Kanada, Australia, Nowa Zelandia, Wielka Brytania).

Ofiarami NotPetya w Polsce stały się między innymi: Raben, InterCars, TNT, Saint-Gobain, czy Kronospan.

Przebieg

NotPetya do masowej infekcji wykorzystywał serwery dystrybuujące aktualizacje dla aplikacji MEDoc, które przez trzy miesiące okresowo propagowały zaktualizowane o backdoor biblioteki dll. Aktualizacja oprogramowania skutkowała infekowaniem kolejnych stacji które tym samym stawały się częścią botnetu, armią komputerów zombie czekającą na zdalnie wydany rozkaz do ataku, który podobnie jak WannaCry wykorzystywał m.in podatność protokołu SMB znaną już wcześniej jako EthernalBlue.

O ile w przypadku WannaCry można było jeszcze liczyć na odszyfrowanie plików po zapłaceniu okupu, przy NotPetya okazało się to znacznie trudniejsze. Wkrótce po nagłośnieniu ataku grupa szantażystów została odcięta od możliwości przesyłania klucza deszyfrującego. Tym samym zyski z ataku zostały mocno ograniczone. Powstały teorie, które twierdzą, że cały atak miał na celu zniszczenie danych a nie pieniądze z szantażu.

Historia ataku jest długa i zagmatwana, a przeczytać więcej o jej przebiegu można tutaj: https://niebezpiecznik.pl/post/kolejny-grozny-globalny-atak-tym-razem-ransomware-petya-ofiary-sa-takze-w-polsce/

Ochrona

Szybkim remedium na atak NotPetya okazało się szybkie wyłączenie komputera w momecie zobaczenia poniższego ekranu. Sygnalizował on proces szyfrowania plików. Systemu nie należało włączać ponownie i starać się odzyskać dane podłączając dysk w bezpieczny sposób do innej jednostki.

Pojawiły się jeszcze inne metody walczenia z NotPetya, między innymi tworzenie odpowiednio spreparowanego pliku perfc w katalogu C:/Windows czy uporanie się z portem SMBv1. Więcej o tych metodach tutaj: http://antyweb.pl/szczepionka-na-petya-ransomware-poradnik/

W trackie Halloween nie mając już cukierków możemy nie otwierać drzwi lub udawać, że nie ma nas w domu. Ransomware nie zapuka do drzwi, będzie próbował wejść nieproszony przez cały rok, a propozycję nie do odrzucenia składać będzie już po fakcie.

Po każdym ataku pojawiają się metody walki z danym, konkretnym reprezentantem ransomware. To co możemy polecić z naszej strony to:

  1. Ochrona za pomocą dedykowanego rozwiązania antyransomware, które wykryje atak jeszcze zanim wpłynie na nasze dane. Tego typu oprogramowaniem jest Sophos Intercept X, którego mechanizmy zaszyte są również w domowej wersji oprogramowania Sophos Home Premium – https://home.sophos.com/

Robienie kopii zapasowej naszych danych. Dzięki odpowiedniemu, automatycznemu skopiowaniu danych na zewnętrzny nośnik będą one bezpieczne i gotowe do przywrócenia w każdym momencie. Doskonałym mechanizmem backupu jest system Migawek oferowany w urządzeniach NAS QNAP. Więcej o nim można przeczytać tutaj: https://makeittogether.pl/ransomware-czy-powinnismy-sie-go-bac-jak-dziala-oprogramowanie-typu-ransomware-i-w-jaki-sposob-sie-przed-nim-chronic/

Advanced Malware

Advanced Malware, określany również mianem Advanced Persistent Threat, to rodzaj zaplanowanego i wycelowanego ataku którego celem padają już nie tylko organizacje rządowe, ale również przedsiębiorstwa z sektora małych i średnich firm.

To atak rozciągnięty w czasie, przypuszczany i nadzorowany z zewnątrz, wykorzystujący narzędzia takie jak malware, podatności systemów czy socjotechnika i którego celem jest instalacja kodu na jednej lub większej ilości maszyn, przy czym kluczowe jest by atak taki pozostał jak najdłużej niewykrytym.

Zainstalowana w ten sposób pluskwa służyć może do monitorowania i pozyskiwania wrażliwych danych, szczególnie że te ostatnio określane są mianem „nowego złota”. Sam proces przygotowania i przeprowadzenia tego typu ataku jest dość złożony i składać może się z kilku faz.

  1. Planowanie, czyli określenie celu, rozpoznanie infrastruktury, wypracowanie strategii niezbędnej do zainstalowania kodu.
  2. Instalacja kodu, Tu zastosowanie znajdują takie narzędzia jak socjotechnika, wirusy typu zero-day, email spear-phishing czy ataki online typu drive-by, po czym rozpoczyna się rekonesans i zbieranie danych na temat struktury sieci jak i samej organizacji.
  3. Zarządzanie i kontrola. Zainstalowany malware nawiązuje kanał komunikacji się z atakującym by z jednej strony przekazywać zebrany łup, z drugiej odbierać dalsze rozkazy i instrukcje w tym dane o kolejnych podatnych na infiltrację użytkownikach, stacjach czy sieciach.
  4. Ekspansja w trakcie której infekcja dzięki zebranym informacjom rozprzestrzenia się wewnątrz organizacji. Kod instalowany jest na kolejnych stacjach czy systemach. Proces ten zazwyczaj działa automatycznie i postępuje niesłychanie szybko. Sieć w sposób najczęściej niezauważony opanowana zostaje przez atakującego.
  5. Identyfikacja celu lub wielu celów. Na tym etapie atakujący posiada już pełny obraz i może określić które z maszyn czy systemów mogą posłużyć mu jako źródło interesujących go danych. Na tym etapie kończy się rekonesans.
  6. Przeprowadzenie ataku polegające na wykradzeniu danych, które w sposób niekontrolowany wydostają się z organizacji do przestrzeni kontrolowanej przez atakującego. Dane przesyłane są w postaci szyfrowanej, często skompresowanej by cała operacja pozostała niewykryta.
  7. Dyskretne wycofanie podczas którego następuje zacieranie śladów na stacjach, systemach czy w sieciach atakowanej organizacji. Na końcu malware może dokonać aktu autodestrukcji nie pozostawiając po sobie żadnego śladu.

Wszystko to przypomina gotowy scenariusz filmu akcji. Sęk w tym, że tego typu ataki to nie fikcja i są spotykane w rzeczywistym świecie coraz częściej.

Ataki typu Advanced Malware nie odbijają się już takim echem medialnym jak ransomware, głównie dlatego, że na ich celowniku nie ma użytkowników końcowych, a jedynie cele przemysłowe. Nie zależy im na zdobyciu okupu od jak największej liczy osób, a przede wszystkim na wykradaniu informacji.

Doskonałymi przykładami oprogramowania wykorzystywanego do szpiegowania mogą być Duqu, Flame czy Stuxnet – robak, którego celem było oprogramowanie SCADA wykorzystywane do obsługi sterowników wirówek do wzbogacania uranu by m.in. ustalić ile z nich działa na terenie Iranu.

Flame

Robak W32.Flamer, znany szerzej jako „Flame” wykryty został w 2012 roku i według wszystkich dostępnych poszlak wygląda na to, że operował niewykryty przez ponad 5 lat. Są również przesłanki wskazujące na to, że Flame był softwareowym przodkiem kolejnych robaków: Stuxneta i później Duqu.

Flame przez wielu wskazywany jest jako najbardziej złożony wirus wykryty do tej pory. Sam kod wykonywalny ważył około 20 megabajtów i składał się z wielu niezależnych modułów.

Program potrafił uruchamiać mikrofon i podsłuchiwać rozmowy w okolicy urządzenia, robić zrzuty ekranu w momencie, gdy użytkownik korzystał z programu pocztowego oraz skanować i wyciągać dane z pobliskich telefonów komórkowych z pomocą technologii Bluetooth.

O wszystkich operacjach wykonywanych przez robaka Flame można przeczytać tutaj: https://tech.wp.pl/czy-flame-to-najgrozniejszy-wirus-wszech-czasow-6034791978783873a

Dodatkowym utrudnieniem w wykryciu zagrożenia był mechanizm usuwający złośliwe oprogramowanie w momencie zakończenia operacji szpiegowskiej, praktycznie bez śladu.

Szacuje się, że problem dotknął około 5 tys. komputerów należących do instytucji rządowych i badawczych, głównie w Arabii Saudyjskiej, Egipcie, Iranie, Izraelu, Libanie, Sudanie i Syrii. Cel ataku oraz brak jakichkolwiek mechanizmów wykradania danych bankowych wskazuje jego źródło na któryś z rządów, prawdopodobnie Izrael. Pewności jednak nigdy nie będzie.

Stuxnet

Choć wykryte wcześniej, Stuxnet i Duqu mogą być następcami Flame, wykorzystującymi część z jego wielomodułowego arsenału.

Stuxnet wykryty został 15 lipca 2010 roku i od razu został uznany za wyjątkowy, przede wszystkim przez bardzo wysoką specjalizację i obranie na cel dokładnie określone instalacje komputerowe.

Wykorzystany został w ataku na irańską elektrownię i infekował konkretne sterowniki PLC produkcji Siemensa, mające zastosowanie w wirówkach do uszlachetniania uranu. Wielu ekspertów oskarża go o wyjątkową toporność kodu, co nie zmienia faktu, że korzystał z 5 luk w zabezpieczeniach systemów Windows, z czego 4 były lukami 0day (nieznanymi wcześniej).

Źródło: Google Maps: https://goo.gl/maps/gU6BEoG7Pdk

Działanie wirusa polegało na uszkodzeniu i wyłączeniu wirówek, które były krytyczne zarówno do funkcjonowania infrastruktury energetycznej kraju, jak i dla programu jądrowego.

Istnieje wiele teorii dotyczących źródła ataku. Najczęściej powtarzaną jest współpraca USA i Izraela w ramach większej operacji, mającej na celu unieszkodliwienie infrastruktury cywilnej i militarnej w razie konfliktu zbrojnego z Iranem. Dlaczego Stuxnet zaatakował wcześniej i wymknął się spod kontroli? Tego pewnie nigdy się nie dowiemy.

Duqu

Trochę ponad rok później, media obiegła informacja o następcy Stuxneta, Duqu. Nazwa pochodzi od rozszerzenia plików, które generował: .DQ. Wiele wskazuje, że pochodził on z tych samych źródeł co Stuxnet, przede wszystkim ze względu na podobieństwa w kodzie.

W odróżnieniu od swojego poprzednika, był znacznie bardziej wyrafinowany. Infekował czołowe europejskie zakłady zajmujące się energią atomową i zamiast niszczyć sprzęt, starał się zdobyć jak najwięcej informacji.

Wykorzystywał on nieznany wcześniej błąd w jądrze systemu i przez odpowiednio skonstruowany plik Word modyfikował kernel Windows.

Istnieje teoria, że Duqu miał zebrać jak najwięcej informacji, które ułatwiały przeprowadzenie kolejnych, coraz bardziej precyzyjnych ataków. Po 36 dniach od infekcji, robak sam się odinstalowywał i znikał z urządzenia.

Ochrona

Te historie mocno przypominają fabułę filmów szpiegowskich i pomimo widocznego schematu rozgrywek pomiędzy rządami i mocarstwami, nie możemy mieć pewności że nie dotknie to kiedyś naszych firm czy nas samych.

Najlepszą metodą na ochronę przed tego typu atakami jest korzystanie z kompleksowych zabezpieczeń oferowanych przez liderów security sieciowego. Odpowiednio zaprojektowane systemy, wykorzysujące takie technologie jak deep learning (więcej tutaj: https://makeittogether.pl/pies-czy-bajgiel-malware-czy-nieszkodliwy-plik-interceptx-z-doladowaniem-czyli-deep-machine-learning-od-sophos/) pozwalają ochronić się nawet przed wcześniej nieznanymi błędami typu 0day.

Kolejną wskazywaną przez SophosLabs kategorią zagrożeń są ataki przeprowadzane za pośrednictwem poczty elektronicznej.

Phishing

Phishing – masowa kampania dystrybuująca wiadomości zawierające niebezpieczne linki których uruchomienie może w konsekwencji prowadzić do kradzieży tożsamości, numerów kart kredytowych, numerów rachunków bankowych itp.

Alternatywnie wiadomości takie mogą zawierać „uzbrojone” załączniki w postaci dokumentów pakietu Office, których pełne otwarcie prowadzi do infekcji systemu. Wiadomości takie do złudzenia przypominają oficjalną korespondencję z banku, firmy kurierskiej czy operatora usług telefonicznych.

Atakujący podszywając się pod takie instytucje, wykorzystują uśpiona czujność swoich ofiar, które nieświadome zagrożeń dają złapać się w sieć ku swojej zgubie.

Przykłady

W 2015 roku, na losowe konta pocztowe dostarczona została wiadomość mająca symulować powiadomienie z systemu Poczty Polskiej. Jak widać dosyć nieudolnie i nie do końca po polsku.

Dołączony do wiadomości załącznik zainfekowany został oprogramowaniem ransomware, które uruchamiało się i rozpoczynało systematyczne szyfrowanie danych na naszym dysku.

Zainfekowane zostały setki osób, które oczekując przesyłki automatycznie i bezrefleksyjnie sprawdzały plik. Jedynym ratunkiem było szybkie wyłączenie komputera i przywrócenie kopii zapasowej dysku.

Częste są ataki w postaci podrobionych wiadomości od systemów bankowych, takie jak poniższy z 2011 roku podszywający się pod bank ING.

Czy ten, z 2016 roku, który informuje o fikcyjnej blokadzie konta w banku BZ WBK.

Kliknięcie w link zamieszczony w tego typu wiadomościach i podążanie zgodnie z instrukcjami powoduje przekazanie informacji o danych dostępowych do systemu bankowego. Przestępcy, dysponując tymi informacjami, mogą skorzystać ze środków zgromadzonych na koncie i wyczyścić je do dna.

Jeśli jesteś ofiarą tego ataku, to jak najszybciej zmień hasło do swojego systemu bankowości elektronicznej. Być może ubiegniesz przestępców i ochronisz swoje środki. Bezwzględnie warto również powiadomić Twój bank o zauważonym procederze.

By aktywnie bronić się przed tego typu praktykami, warto znać polityki bezpieczeństwa stosowane przez banki. Większość z nich znajduje się na ich oficjalnych stronach, natomiast mało kto je czyta.

Oto kilka podstawowych i uniwersalnych zasad, do który stosuje się każdy bank:

  1. Nie wysyła informacji o blokadzie konta za pomocą wiadomości e-mail.
  2. Nie podaje linków do systemu transakcyjnego w wiadomościach elektronicznych lub SMS.
  3. Nie prosi o zalogowanie się na niezabezpieczonej stronie, pozbawionej “kłódki” przy adresie.
  4. Nie prosi o weryfikację za pomocą danych z karty.
  5. Nie prosi o podanie kilku kodów z karty zdrapki.
  6. Nie dzwoni z prośbą o podanie hasła do konta lub numeru karty.
  7. Nie prosi o zainstalowanie programu do otwierania wyciągów.
  8. Nie prosi o zainstalowanie antywirusa na komórce.
  9. Nie prosi podczas logowania o kod z tokena lub SMS-a, jeśli nie korzystasz z tej usługi.

Źródło listy i więcej informacji pod adresem https://www.bankier.pl/wiadomosc/Nie-daj-sie-nabrac-Tego-nigdy-nie-robi-twoj-bank-7472940.html

Spear-Phishing

Spear-phishing ma mniej masowy charakter w związku z czym jest trudniejszy do wykrycia. Atakujący zanim przypuści celowany atak na organizację, zazwyczaj solidnie się do niego przygotowuje skrupulatnie zbierając dane na temat swoich potencjalnych ofiar.

Do zdobycia informacji takich jak imię, nazwisko, stanowisko, numer telefonu, adres email czy relacje wewnątrz organizacji wystarczą wyszukiwarka, media społecznościowe i odrobina czasu.

Później pozostaje przygotować korespondencję która kierowana jest do konkretnej osoby i na pozór tylko wygląda jak polecenie otwarcia pliku czy linku od szefa, podczas gdy w rzeczywistości jest to malware. Pomyłka może okazać się bardzo kosztowna.

Atak na sztab Hillary Clinton

To ciekawy przypadek, który może szczególnie zainteresować użytkowników GMaila, poczty od Google.

W marcu 2016 roku, John Podesta, który był szefem kampanii prezydenckiej Hillary Clinton, otrzymał na swój adres GMail poniższą wiadomość:

Wiadomość nie została przechwycona przez filtry spamowe i chociaż podejrzana, przeszła pozytywnie kontrolę sztabowego informatyka. Za poradą specjalisty, Podesta kliknął link i przeszedł na sfałszowaną stronę logowania.

Jak widać, wygląd strony sfabrykowany został bardzo wiarygodnie. Na stronie znalazło się nawet zdjęcie osoby atakowanej.

Późniejsza analiza wykazała, że był to masowy atak, w pełni zautomatyzowany i wycelowany w osoby pracujące dla Clinton.

Wcześniej, za pomocą tej samej metody dokonano ataku na ponad 1600 kont GMail należących do obywateli Rosji i krajów byłego Związku Radzieckiego.

Ochrona

Przede wszystkim nie korzystać z prywatnych skrzynek pocztowych do załatwiania spraw służbowych. Konta pocztowe należące do firm są statystycznie lepiej chronione od ogólnodostępnych dostawców.

Nic nie zastąpi szeroko pojętej czujności, zwracania uwagi na linki oraz politykę bezpieczeństwa firm, które zgłaszają się do nas w celu otrzymania danych logowania.

Cryptominer

Wraz ze wzrostem popularności tzw. kryptowalut na cyber-scenie pojawiła się całkowicie nowa forma zagrożeń. Aplikacje do „wydobywania” kryptowalut co do zasady powinny być instalowane i uruchamiane za zgodą i wiedzą użytkownika systemu.

Coraz częściej jednak spotkać można złośliwe warianty takich aplikacji, które nie pytając nikogo o zgodę po cichu wykorzystują zasoby komputerów kopiąc walutę a konto atakującego. Co więcej, nie muszą być to aplikacje instalowane jako pliki wykonywalne.

Popularnym w ostatnim okresie czasu wariantem są strony web z osadzonym w niewidoczny sposób skryptem. Otwarcie zainfekowanej w ten sposób strony powoduje jego uruchomienie i niewidoczne dla użytkownika wykorzystanie zasobów jego komputera.

Z perspektywy użytkownika jedyne ślady działalności takiej aplikacji to spowolnienie pracy komputera, wzrost poziomu hałasu generowanego przez wentylator procesora a w przypadku urządzeń mobilnych, zauważalne skrócenie czasu pracy w trybie zasilania bateryjnego.

Niekontrolowany wzrost zapotrzebowania na moc obliczeniową przekłada się nie tylko na obniżenie komfortu pracy użytkownika, ale realnie zwiększa koszty utrzymania. W przypadku zainfekowania strony firmowej utrzymywanej na serwerze, dodatkową stratą będzie wizerunek w oczach klientów czy partnerów, a koszt jego utraty trudno wymiernie wycenić.

CoinHive

Jednym z dostawców oprogramowania do wydobywania Kryptowalut jest firma CoinHive. Wprowadziła ona również na rynek skrypty, które można zaszyć w stronach internetowych, by w taki sposób chętni internauci mogli wspierać twórców treści.

Firma oficjalnie zachęcała do informowania wizytujących strony o skrypcie i fakcie uczestniczenia w farmie wydobywczej. Okazało się jednak, że wiele stron nie informowało gości o procederze. Oprócz tego, twórcy i dystrybutorzy reklam zaszywali skrypt w swoich treściach, wykorzystując niczego nieświadomych właścicieli stron, którzy korzystali z danej platformy reklamowej.

W efekcie skrypty pojawiły się na wielu znanych, polskich stronach.

Do bardziej znanych przypadków można dodać witrynę ThePirateBay oraz serwis telewizji Showtime.

Ochrona

Pojawiły się już liczne wtyczki do przeglądarek, które blokują ruch z serwerem CoinHive. Wystarczy zainstalować jedną z nich i już nie musimy martwić się o uruchamianie w tle skryptów kopiących kryptowaluty.

Podsumowanie

Jak widać, mapa zagrożeń cały czas rośnie i kiedy jedne są marginalizowane, powstają kolejne. Warto być czujnym, sprawdzać zaufane strony informujące o zagrożeniach oraz wdrożyć stystemy zabezpieczające infrastrukturę informatyczną, takie jak rozwiązania Sophos.

Jeśli potrzebujesz pomocy z doborem rozwiązania, chętnie pomożemy. Napisz do nas na adres security@fen.pl

Zapraszamy również do pogłębienia wiedzy i przejrzenia dodatkowych źródeł:

Źródła o Ransomware:

https://usunwirusa.pl/wirus-wannacry/

https://zaufanatrzeciastrona.pl/post/komunikacja-polskich-instytucji-panstwowych-na-temat-wannacry-analiza/

https://zaufanatrzeciastrona.pl/post/jak-najprawdopodobniej-doszlo-do-globalnej-infekcji-ransomare-wannacry/

https://makeittogether.pl/ransomware-czy-powinnismy-sie-go-bac-jak-dziala-oprogramowanie-typu-ransomware-i-w-jaki-sposob-sie-przed-nim-chronic/

https://avlab.pl/pl/odszyfrowanie-plikow-po-ataku-ransomware-wannacry-jest-mozliwe-zobacz-jak-zrobic

https://niebezpiecznik.pl/post/kolejny-grozny-globalny-atak-tym-razem-ransomware-petya-ofiary-sa-takze-w-polsce/

http://antyweb.pl/szczepionka-na-petya-ransomware-poradnik/

Źródła o advanced malware:

http://www.bbc.com/news/technology-18238326

https://tech.wp.pl/czy-flame-to-najgrozniejszy-wirus-wszech-czasow-6034791978783873a

https://niebezpiecznik.pl/post/stuxnet/

https://niebezpiecznik.pl/post/duqu-wykorzystuje-0day-w-windows/

http://www.benchmark.pl/aktualnosci/duqu-podobny-do-stuxnet-wirus-atakuje-europe.html

Żródła o phising:

https://www.bankier.pl/wiadomosc/Nie-daj-sie-nabrac-Tego-nigdy-nie-robi-twoj-bank-7472940.html

https://niebezpiecznik.pl/post/falszywe-maile-od-poczty-polskiej-zaszyfruja-ci-dysk/

https://www.bankier.pl/wiadomosc/Trwa-atak-phishingowy-na-klientow-BZ-WBK-7474282.html

Źródła o spear-phishing:

https://niebezpiecznik.pl/post/jak-zhackowano-szefa-kampanii-prezydenckiej-hillary-clinton/

https://niebezpiecznik.pl/post/phishing-wymierzony-w-naukowcow-z-uniwersystetu-warszawskiego/

Żródła o cryptominer:

https://zaufanatrzeciastrona.pl/post/uwazajcie-bo-znane-strony-www-kopia-kryptowaluty-na-waszych-komputerach/

Opublikowane w

4 zagrożenia w sieci i jak im przeciwdziałać w 2018

W naszej pamięci ubiegły rok zapisał się kilkoma nieprzyjemnymi incydentami. Dzięki nim dowiedzieliśmy się wszyscy, czym są ataki ransomware ale też jak można im przeciwdziałać. Nie zapominajmy jednak, że przed nami nowe wyzwania. W bezpieczeństwie IT niezmiennie dzieje się dużo. Co może przynieść nam rok 2018? Jakie szanse, zagrożenia, trendy w obszarze security będziemy mogli obserwować?

RODO – Nadejście bezkompromisowych regulacji prawnych

Za pewnik dotyczący zmian w polskim IT w 2018 uchodzi wejście w życie unijnej dyrektywy zaostrzającej przepisy dotyczące ochrony danych osobowych. Wiele firm wciąż nie jest gotowych na zmiany, jakie będą je czekać od maja.

Będą to m.in. obowiązek zgłaszania wycieków danych w konkretnym oknie czasowym jak również przeniesienie odpowiedzialności za incydenty na tym tle na kierownictwo organizacji. Z punktu widzenia stricte informatycznego kluczowy stanie się obowiązek szyfrowania bądź pseudonimizacji danych. O tym jak się do tego zabrać pisaliśmy już w zeszłym roku.

Bezpieczeństwo informatyczne zacznie rzutować na całość funkcjonowania przedsiębiorstwa, co wymusi zmianę postawy zarządu. Pojawi się konieczność odpowiedniego prowadzenia dokumentacji i przechowywania wrażliwych informacji, nie tylko tych zapisanych w formie cyfrowej.

Wykorzystanie sztucznej inteligencji w atakach hackerskich

Od kilkunastu lat ludzkości towarzyszy niepokój związany z gwałtownym rozwojem niektórych technologii. Wprawdzie daleko nam do tego by naszym światem sterowały maszyny, jak to zostało zobrazowane w trylogii Matrix’a, ale nie możemy zaprzeczyć, że na polu mocy obliczeniowej komputery przewyższają człowieka od momentu ich powstania.

Sztuczna inteligencja pozwala na przetwarzanie dużych ilość danych a na ich podstawie wykonywanie skomplikowanych działań jak np. wykrywanie podatności. Mogą one służyć zarówno celom dobrym jak i złym – cyberprzestępcy pracują nad obchodzeniem systemów zabezpieczeń swoich ofiar z użyciem najnowocześniejszych technologii.

Przewidywane są też zmiany w preferencjach atakujących – coraz skuteczniejsza ochrona przeciwko ransomware czyni te wirusy coraz mniej popularnymi. Oznacza to tylko jedno – pojawią się nowe pomysły jak dokonać większych zniszczeń i pozyskać większe korzyści finansowe.

Źródło obrazka: https://insidehpc.com/wp-content/uploads/2017/09/internet-of-things-2.jpg

Spadek bezpieczeństwa kryptowalut

Wg https://coinmarketcap.com w grudniu 2017 wartość kapitalizacji kryptowalut wyniosła ponad 5 mld dolarów. Oznacza to, że nieustannie wzrasta znaczenie bitcoina, głównie jako sposobu na pozyskanie dochodu z przestępczości w sieci.

Możemy się zatem spodziewać ataków wymierzonych właśnie w systemy obsługujące kryptowaluty. Pod ciągłą obserwacją znajdują się te, które wykorzystują technologię blockchain uchodzącą za odporną na cyberataki. Jej podatności mogłyby umożliwić kradzież danych służących do autentykacji kont pełnych bitcoinów.

Porażka Internet of Things

Wykradanie danych i włamania do systemów operacyjnych stają się coraz powszechniejsze w dobie Internet of Things. Zwłaszcza, że środowisko pracy zaczyna mieszać się z prywatnym i odwrotnie. Im więcej urządzeń podłączonych do sieci posiadamy i im mniej mechanizmów uwierzytelniania w nich zastosowaliśmy tym bardziej możemy być pewni, że spotka nas zainteresowanie hackerów.

W 2018 roku zwróćmy szczególną uwagę, czy nasz laptop, tablet, a także czytnik ebookow czy smartwatch nie posłuży do przeprowadzania ataków DDoS. Distributed Denial of Service czyli rozproszona odmowa usługi, polegająca na zajęciu wszystkich wolnych zasobów danego komputera bądź systemu w skutek lawinowych zapytań wysyłanych równocześnie z wielu komputerów.

Jest to atak znany zapewne każdemu cyberprzestępcy, natomiast nigdy wcześniej środowisko ofiar nie dawało tylu możliwości i punktów kontaktowych.

Jak ochronić się przed zagrożeniami sieci w 2018

Zaproponowaną w ubiegłym roku przez Gartner koncepcję Continuous Risk and Trust Assessment Approach (CARTA) zbudowano na bezpieczeństwie jako ciągłym procesie. Utrzymanie bezpieczeństwa w przedsiębiorstwie każdego rozmiaru wymaga stałej kontroli i ocenie potrzeb organizacji w odniesieniu do bieżącej sytuacji oraz dostosowywaniu do tego całego środowiska.

Możemy zapomnieć o strategii sprzed jeszcze kilku lat, polegającej na wdrożeniu kilku środków bezpieczeństwa (jak antywirus czy UTM) i spoczęciu na laurach. Dynamika współczesnego świata i coraz szybsze tempo pojawiania się nowych zagrożeń wymuszają pozostanie w gotowości cały czas.

Oprócz zapobiegania poprzez obwarowanie użytkowników ochroną przed zewnętrznymi zagrożeniami, eksperci przewidują wzmożona koncentrację na infekcjach pochodzących z wewnątrz sieci. W szczególności wynikających z nieprawidłowych uprawnień użytkownika i zbyt szerokiego dostępu do kluczowych zasobów.

Cyberprzestepcy doskonale zdają sobie sprawę z tego, że najsłabszym ogniwem w łańcuchu security jest człowiek. Lepiej dla firm aby koncentrowały swoją uwagę na mechanizmach zapobiegającym atakom niż rozwiązaniom wykrywającym zagrożenia – nie da się bowiem zidentyfikować wszystkich zagrożeń.

Produktem wpasowującym się w te ideę jest nowy Intercept X z machine learning . Intercept X nie skanuje zasobów naszego komputera jak zwykły antywirus, porównując wyniki z bazą wirusów, opublikowaną przez producenta. Jego zadaniem jest rozpoznanie czy konkretny plik wykonywalny, który analizujemy jest nieszkodliwy czy może być potencjalnie niebezpieczny.

Analiza odbywa się za pomocą algorytmów opartych na sieci neuronowej i stanowi najnowszą i do tej pory najefektywniejszą metodę radzenia sobie z nieznanymi infekcjami.

Nie ma dnia bez Security

Producenci rozwiązań bezpieczeństwa prześcigają się w pomysłach na wykorzystanie regulacji RODO w swoich kampaniach. Codziennie w mediach społecznościowych publikują posty dotyczące żniwa jakie zbierają wirusy ransomware, nie do wykrycia przez standardowe rozwiązania.

Wszechobecny slogan „Data is the new gold” uderza z portali zajmujących się bezpieczeństwem w sieci, ale też coraz częściej pojawia się w miejscach, które z cyberświatem nie miały dotąd wiele wspólnego. Bezpieczeństwo staje się modne, a to cieszy właściwie wszystkich – producentów, dystrybutorów, sprzedawców i samych użytkowników poza… twórcami szkodlliwego oprogramowania. Oni nigdy nie ustaną w swych pomysłach i wysiłkach.

Dlatego tak ważne jest, żeby rozwiązania wdrożone w organizacji były do niej dostosowane. To nie my mamy się dostosować do wydajności urządzeń UTM. To one mają odpowiadać naszym potrzebom. To nie my mamy aktualizować nasze antywirusy – one mają wykonywać to z automatu.

Infekcja wykryta na pojedynczej stacji roboczej powinna postawić na nogi całe środowisko security i to bez ingerencji administratora. Nie wierzysz, że to możliwe? To znaczy, że nie słyszałeś o Synchronized Security od Sophos. Nie chcemy wyłączać myślenia. Wręcz przeciwnie – włączmy je i uczyńmy bezpieczeństwo prostym i przyjaznym dla naszej organizacji. W końcu i tak codziennie o nim słyszymy.

Rok 2018 dopiero się rozpoczął, ale już widzimy, że czeka nas wiele pracy – może dlatego, że produktami FEN możemy zabezpieczyć różne aspekty działalności organizacji mamy pełne ręce roboty. Spokojnie – damy radę! Robimy to przecież nie od dziś. Trendy, szanse i zagrożenia IT nie stanowią dla nas zagadki.

Wiemy z jakich produktów korzystać by ochronić się przed ransomware i jak przygotować się do wejścia w życie zmian zawartych w RODO. Jesteśmy gotowi na to, co przyniesie nam przyszłość, choć nie mamy pojęcia, co może się zdarzyć. Wystarczy nam, że jesteśmy w stanie wyposażyć naszych partnerów i ich klientów w niezawodne mechanizmy ochrony i bezpieczeństwo szyte na miarę. Przekonaj się sam – odwiedź FEN Story i przeczytaj o naszych rozwiązaniach.

Źródła:

https://www.computerworld.pl/news/15-trendow-bezpieczenstwa-IT-w-2018-roku,409534.html

http://www.egospodarka.pl/145463,Bezpieczenstwo-IT-Podsumowanie-i-prognozy-na-2018-rok,1,12,1.html

http://www.it-professional.pl/temat-numeru/artykul,6779,zagrozenia-dla-bezpieczenstwa-it-firmy.html

https://itwiz.pl/jakie-technologie-trendy-uksztaltuja-swiatowa-branze-it-2018-roku/

Przejdź do treści