勒索軟件攻擊的損失為何越來越大？

Jaikumar Vijayan 沈建苗

United Health Services（UHS）去年承受勒索軟件攻擊所導(dǎo)致的最終損失高達(dá)6700萬美元！2020年9月的一起攻擊導(dǎo)致其網(wǎng)絡(luò)癱瘓。盡管能達(dá)到如此高額損失的組織為數(shù)并不多，但是，它卻是一個典型案例，表明勒索軟件攻擊在過去兩年已開始給受害者造成越來越嚴(yán)重的經(jīng)濟(jì)損失。

一直跟蹤分析勒索軟件攻擊趨勢的安全專家指出，幾個因素導(dǎo)致與勒索軟件攻擊有關(guān)的損失不斷上升，對于醫(yī)療保健行業(yè)的組織而言更是如此。其中一個最明顯的因素就是，攻擊者向受害者索要的平均贖金數(shù)額在上漲。

網(wǎng)絡(luò)保險公司Coalition去年分析了投保人的索賠數(shù)據(jù)，結(jié)果發(fā)現(xiàn)攻擊者索要的平均贖金從2020年第一季度的230000美元，猛增至2020年第二季度的338669美元，增幅高達(dá)47%。一些攻擊者向受害者索要的平均贖金為420000美元，比如Maze勒索軟件背后的團(tuán)伙。Coveware的研究發(fā)現(xiàn)，實際支付的勒索軟件贖金也直線上升，從2019年第四季度的84000美元，飆升至2020年第三季度的逾233817美元。

然而，贖金本身只是總損失的一小部分，拒不支付贖金對組織而言常常不是首選項。對受到攻擊的組織來說，攻擊損失在過去兩年左右的時間中穩(wěn)步增加。據(jù)安全專家們聲稱，以下這五個最常見的原因可以解釋為什么會出現(xiàn)這種情況。

1. 宕機(jī)損失

宕機(jī)就算不是勒索軟件攻擊造成的最大損失，至少也是最大損失之一。遭到勒索軟件攻擊之后，受害者常常要花數(shù)天、有時乃至數(shù)周的時間來恢復(fù)系統(tǒng)。而在此期間，平常的服務(wù)可能受到嚴(yán)重干擾，導(dǎo)致業(yè)務(wù)流失、失去機(jī)會造成的損失、客戶好感度下降、服務(wù)級別協(xié)議（SLA）無法履行、品牌受損以及其他一大堆問題。比如說，由于無法正常提供患者護(hù)理服務(wù)，加上計費延遲，UHS的損失大部分與收入減少有關(guān)。

這類問題甚至可能更嚴(yán)重。近幾個月來，不法分子已開始攻擊運營技術(shù)網(wǎng)絡(luò)，企圖盡量延長受害者的宕機(jī)時間，并加大壓力以迫使對方支付贖金。今年早些時候包裝巨頭WestRock Company遭遇攻擊就是一個例子，該公司旗下的多家制造廠和加工廠的運營因而受到了影響。本田公司在2020年遭到了一起類似的攻擊，這家汽車制造商在日本境外的幾家工廠出現(xiàn)了運營暫時中斷。

維爾公司去年委托第三方對近2700名IT專業(yè)人士開展了一項調(diào)查，三分之二的受訪者估計，遭到勒索軟件攻擊后，所在組織至少要花五天的時間才能恢復(fù)正常。Coveware的另一份報告估計平均宕機(jī)時間要長得多，估計2020年第四季度平均宕機(jī)21天。

Datto的首席信息安全官Ryan Weeks表示，該公司去年開展的調(diào)查顯示，2020年與勒索軟件攻擊有關(guān)的宕機(jī)造成的平均損失比前一年整整高出了93%。他說：“宕機(jī)造成的損失常常比贖金本身高得多。宕機(jī)損失迅速上漲，我們不得不認(rèn)真看待猖獗的勒索軟件攻擊?！?/p>

該公司的數(shù)據(jù)顯示，勒索軟件攻擊引起的宕機(jī)造成的損失平均超過274200美元，比索要的平均贖金高得多。Weeks表示，這就導(dǎo)致許多組織忍不住干脆按攻擊者的要求支付贖金。他說：“比如在2018年，佐治亞州亞特蘭大市遭遇勒索軟件攻擊，該市花費了逾1700萬美元才恢復(fù)過來。然而，贖金本身只有區(qū)區(qū)51000美元?！?/p>

Weeks表示，這些數(shù)據(jù)表明，組織需要有一項考慮周全的網(wǎng)絡(luò)彈性策略和業(yè)務(wù)連續(xù)性計劃。組織在考慮業(yè)務(wù)連續(xù)性計劃時，需要考慮幾個問題，比如恢復(fù)時間目標(biāo)（RTO），即業(yè)務(wù)運營最長在多少時間內(nèi)必須恢復(fù)正常，比如恢復(fù)點目標(biāo)（RPO），即需要回溯到多久之前以取回仍然可用的數(shù)據(jù)。他說：“計算RTO有助于確定公司在無法訪問數(shù)據(jù)的情況下最多能運營多長時間。另外，確定RPO后，你可以確定需要對數(shù)據(jù)進(jìn)行備份的頻次?！?h3>2. 與雙重勒索有關(guān)的損失

一個特別令人不安的動向是，勒索軟件團(tuán)伙已在鎖住受害者組織的系統(tǒng)前，開始竊取大量的敏感數(shù)據(jù)，然后將這些竊取而來的數(shù)據(jù)作為另外的籌碼以勒索贖金。如果受害者拒不支付，攻擊者就通過專門設(shè)立的暗網(wǎng)來泄露數(shù)據(jù)。

日本《日經(jīng)新聞》與趨勢科技聯(lián)合開展的一項調(diào)查發(fā)現(xiàn)，僅2020年頭10個月，全球超過1000家組織淪為了這種雙重勒索攻擊的受害者。據(jù)稱，這種攻擊手法的始作俑者是Maze勒索軟件背后的黑客，但隨后眾多團(tuán)伙紛紛仿而效之，包括Sodinokibi、Nemty、Doppelpaymer、Ryuk和Egregor等勒索軟件團(tuán)伙。上個季度Coveware響應(yīng)的勒索軟件事件中70%涉及數(shù)據(jù)竊取。

Acronis的網(wǎng)絡(luò)防護(hù)研究副總裁Candid Wuest說：“事實上，如今許多勒索軟件團(tuán)伙先竊取數(shù)據(jù)后加密數(shù)據(jù)，加大了數(shù)據(jù)泄露的風(fēng)險。這意味著即便沒有任何嚴(yán)重的宕機(jī)就能恢復(fù)系統(tǒng)，公司也更有可能需要承擔(dān)所有的相關(guān)損失，比如品牌受損、法務(wù)費用、監(jiān)管部門罰款和數(shù)據(jù)泄露清理服務(wù)費?！?/p>

這個趨勢已顛覆了與勒索軟件攻擊有關(guān)的傳統(tǒng)估算方法。即使有再好的數(shù)據(jù)備份和恢復(fù)流程，如今勒索軟件受害者也必須面對這種可能性：敏感數(shù)據(jù)被公開披露，或者被賣給競爭對手。Digital Shadows的高級網(wǎng)絡(luò)威脅情報分析師Xue Yin Peh認(rèn)為，勒索軟件攻擊的受害者可能不得不承受監(jiān)管機(jī)構(gòu)實施的經(jīng)濟(jì)懲罰。按照歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）、美國《加州消費者隱私法》（CCPA）和《健康保險可攜性及責(zé)任性法案》（HIPAA）等監(jiān)管法規(guī)，發(fā)布和泄露從受害者竊取的數(shù)據(jù)構(gòu)成數(shù)據(jù)泄露事件。

Peh特別指出：“受害者還可能面臨第三方索賠或集體訴訟帶來的法律后果?！比绻粽吒`取和發(fā)布的數(shù)據(jù)涉及其他組織，比如第三方數(shù)據(jù)文件或客戶數(shù)據(jù)，面臨這類麻煩的可能性隨之加大?！叭绻M者數(shù)據(jù)被泄露，相應(yīng)公司就要準(zhǔn)備承受泄露數(shù)據(jù)的成本。網(wǎng)絡(luò)保險費也可能因勒索軟件攻擊而上漲?！?h3>3. IT升級成本