Ransomware dublă extorcare: de ce backup-ul e insuficient

Un atac de tip ransomware dublă extorcare este extrem de grav. Infractorii copiază mai întâi datele organizației înainte de a le cripta. Apoi, ei cer bani de două ori. Prima dată pentru cheia de decriptare, iar a doua oară pentru a nu publica ceea ce au furat. Backup-ul rezolvă strict prima problemă.

A doua problemă rămâne întreagă, oricât de bune ar fi copiile de siguranță. Din perspectiva unui auditor de securitate cibernetică, acest ransomware dublă extorcare face ca multe planuri de apărare scrise acum cinci ani să fie complet incomplete și depășite.

Ce s-a schimbat față de atacul clasic?

În forma veche, fișierele deveneau ilizibile brusc. Pe ecran apărea doar un bilet de răscumpărare. Organizațiile cu un backup funcțional restaurau sistemele și mergeau pur și simplu mai departe.

Noua tactică a infractorilor cibernetici

Atacatorii au observat imediat că tot mai multe victime refuzau complet să plătească. Prin urmare, au adăugat o etapă vitală. Aceasta se numește exfiltrare: copierea datelor în afara rețelei, cu mult înainte de criptare. Astfel, amenințarea unui ransomware dublă extorcare devine mult mai complexă.

Datele care confirmă tendința globală

Conform studiului Statista, în 2020 au fost înregistrate aproximativ 1.500 de atacuri care au dus la expunerea datelor. În anul 2021 au existat aproximativ 2.700 de cazuri. Vorbim de o creștere enormă de peste 80% într-un singur an. Aceasta marchează exact momentul în care publicarea datelor a devenit o practică standard.

Un alt reper foarte important este anul 2023. În incidentele analizate atent de echipa Sophos X-Ops, formatul clasic reprezenta 70,13% din totalul cazurilor. Interesant este că extorcarea de date fără criptare reprezenta deja 7,14%. Există deja atacuri noi în care nimeni nu mai criptează absolut nimic, doar fură și șantajează.

Cum se desfășoară un atac ransomware dublă extorcare?

Mai jos sunt prezentate etapele așa cum le percepe o firmă obișnuită. Aceasta este o hartă simplă a semnelor, nu un manual tehnic complicat.

Etapele principale ale infiltrării

• Intrarea în sistem
  Adesea se folosește un cont de e-mail sau de acces la distanță fără MFA activat. Alte variante sunt o parolă reutilizată sau un serviciu expus pe internet și neactualizat. Rareori este vorba despre un atac spectaculos.
• Consolidarea poziției
  Atacatorul își creează conturi suplimentare și caută conturile de administrator. El învață toată rețeaua. Poate dura săptămâni întregi. O monitorizare bună ar vedea imediat autentificări la ore neobișnuite și accesări masive.

Furtul datelor și șantajul

• Exfiltrarea datelor
  Datele cu adevărat valoroase (contracte, baze de clienți, dosare de personal) sunt arhivate. Apoi sunt transferate în afara organizației. Pentru un firewall fără alerte, totul arată ca un simplu trafic de ieșire mai mare.
• Criptarea și biletul
  Abia acum află victima adevărul. Cu cât etapele anterioare au fost mai lungi, cu atât biletul conține mai multe detalii despre ce au furat hackerii.
• Presiunea constantă
  Dacă nu se plătește suma, urmează publicarea eșantioanelor. Apoi apar arhivele întregi. Uneori, clienții victimei sunt contactați direct de către atacatori.

Cum arată un incident din interiorul firmei?

Iată un caz real, dar complet anonimizat. O firmă de distribuție cu 60 de angajați restaurează totul din backup în doar trei zile. Consideră incidentul total închis. Însă, după două săptămâni, un client primește un e-mail neașteptat. Acesta conține propriul contract atașat și întrebarea clară dacă știe că datele lui circulă liber.

Diferența dintre disponibilitate și confidențialitate

Firma nu notificase absolut deloc autoritatea pentru protecția datelor. Scuza lor a fost: „am restaurat tot”. Aici se vede diferența majoră dintre un incident de disponibilitate și unul de confidențialitate. Al doilea nu se termină automat când sistemele repornesc.

Incidentele din România din 2026 ilustrează perfect prima față. La ANCPI, atacul a dus la ștergerea a aproximativ 1.000 de servere virtuale. La ANP, atacul din 29 iulie a condus la izolarea echipamentelor. Întrebarea „ce date au fost copiate înainte” este cea mai grea mereu.

Semne de alarmă pe care le puteți recunoaște ușor

Există mereu câteva indicii clare care anunță un dezastru iminent în rețea. Fiți atenți la aceste detalii pentru a preveni un ransomware dublă extorcare.

• Autentificări reușite din locații sau la ore fără legătură cu programul firmei.
• Conturi noi de administrator pe care absolut nimeni nu-și amintește să le fi creat.
• Trafic de ieșire neobișnuit, în special noaptea sau în timpul weekend-ului.
• Antivirusul se dezactivează brusc „de la sine” pe unul sau mai multe sisteme.
• Procesele de backup încep să eșueze total fără motiv, cu câteva zile înainte de atac.

Controale eficiente și etapa blocată