中小企业，大风险：如何反击勒索软件

认为自己的企业规模太小不会成为数字勒索的目标？再想想吧。事实上，如果你是中小企业主，最好假设自己就是潜在目标。Verizon的数据显示，虽然勒索软件占大型组织数据泄露的39%，但对中小企业来说，这一比例上升到88%。大型企业可能更有准备支付数百万美元的赎金，但它们也往往更有可能拥有预防、检测和控制泄露风险的工具和策略。

与此同时，中小企业与大型企业一样，完全依赖其数据和IT基础设施来运营。永久性数据丢失和业务完全关闭的威胁通常是支付赎金的强大动力，即使没有任何保证企业能真正拿回数据。

更糟糕的是，攻击者总是在寻找更多杠杆来迫使支付，例如通过双重勒索攻击，他们既窃取敏感数据，又加密并威胁公布。除了窃取并威胁泄露或擦除敏感内部数据外，他们可能还威胁进行DDoS攻击、向监管机构投诉，甚至在某些情况下威胁使用身体暴力。事实上，正如Verizon发现的那样，攻击者甚至会愉快地调整赎金要求以增加支付几率。

坦率地说，防御较差的中小企业对攻击者来说是个诱人的目标。确实，由于拥有比消费者更多的数字资产和资金，又比企业拥有更少的网络安全保护，这些企业长期处于"网络犯罪的甜蜜点"。如果你热衷于保护公司数据安全和系统安全，好消息是无需花费巨资就能实现。

勒索软件组织如何演变

要应对威胁，你还需要了解是谁或什么在推动它，以及它是如何变化的。一方面，勒索软件即服务的网络犯罪工业化降低了进入门槛，促进了勒索软件的扩散。与此同时，勒索软件品牌的更替也在快速进行，部分原因是执法力度的加强。一个组织刚被取缔，另一个组织往往就以类似或其他战术和工具出现，以逃避审查。此外，快速演变的战术、技术和程序使风险缓解更加困难。

另一方面，勒索软件重塑品牌也可能反映了许多组织在盈利方面遇到的困难。对加密货币赎金支付的分析显示，2023年至2024年间下降了35%。然而，面对可能更少的受害者愿意支付，勒索软件组织似乎加倍针对那些支付者，一项研究声称去年支付赎金的组织中有55%多次支付；29%支付了三次或更多。

AI如何改变勒索软件

随着技术的进步，勒索软件组织也在改变策略以增加成功机会。实现初始访问受害者网络的常用方式仍然是漏洞利用、网络钓鱼和远程访问入侵；例如通过信息窃取恶意软件获取的凭据。然而，AI工具可能会增强所有这些努力。

英国国家网络安全中心最近警告说，在未来两年内，AI的使用将导致"网络威胁频率和强度的增加"。特别是扫描易受攻击的受害者、漏洞利用和社会工程将在网络犯罪地下世界更加普及。

与此同时，ESET最近发现了据信是世界上第一个由AI驱动的勒索软件"PromptLock"。它使用OpenAI的合法模型生成恶意脚本。ESET警告说：“能够适应环境并即时改变策略的AI驱动恶意软件的前景可能总体上代表了网络攻击的新前沿。”

另一份ESET报告强调了其他新发展，包括"EDR杀手"的出现——旨在终止、致盲或崩溃安装在受害者系统上的端点检测和响应工具。还观察到组织使用"ClickFix"社会工程策略诱骗用户在其机器上安装恶意软件。

如何保护你的业务

少数中小企业从代价中了解到勒索软件泄露后可能发生的情况。尽管在2023年遭受攻击前已经面临财务压力，英国物流公司KNP随后进入破产管理，损失了700个工作岗位。

为防止你的企业走上同样的道路，采用预防优先的思维模式：

• 部署强大的补丁管理，确保修补被视为最高风险的漏洞，进一步限制初始访问和横向移动的机会。
• 更新身份和访问管理策略和工具，遵循零信任方法。这意味着假设已遭入侵、持续验证用户、最小权限策略和多因素认证。
• 确保在所有设备上安装来自可信供应商的安全软件，从端点、服务器到远程工作者的笔记本电脑。
• 根据行业最佳实践备份敏感文件，这样即使文件被加密也可以恢复，减少对手的杠杆。
• 与企业各关键利益相关者合作制定事件响应计划。还应定期测试，确保其在入侵后有助于加速遏制。
• 持续监控网络、端点和IT环境其他部分的可疑行为迹象。这些早期预警信号应有助于最小化攻击者驻留时间。
• 更新培训和提高意识课程，包括模拟练习，涵盖最新的网络钓鱼策略，包括基于语音的网络钓鱼。你的员工既是你最好的资产，也是最薄弱的环节。

重要的是，确保适当评估你的资产、资源和风险，包括来自供应链的风险。保留组织使用的所有开源和专有现成工具的清单。更广泛地说，资产可见性是任何风险管理计划的基础。换句话说，攻击者已知会依赖盲点。如果你不知道系统存在或它持有什幺数据，你就无法保护它。

正如ESET 2022年中小企业数字安全情绪调查所示，许多中小企业越来越意识到勒索软件和其他业务面临的风险，但他们对内部网络安全专业知识缺乏信心。因此，许多企业，特别是资源较少的企业，越来越转向托管检测和响应服务，将监控交给专家合作伙伴，由其执行24/7/365的威胁狩猎、检测和响应，减少内部团队的运营负担，同时确保任何勒索软件活动被迅速识别、遏制和消除。勒索软件行为者必须在有机会造成任何损害之前被赶走。