Kako napad teče
- Napadač ulazi u sustav, najčešće putem phishing poruke, ukradenih podataka za prijavu ili nezakrpane ranjivosti.
- Širi se mrežom i stječe administratorske ovlasti.
- Iznosi podatke tvrtke.
- Briše ili šifrira sigurnosne kopije dostupne s mreže, a zatim šifrira podatke i sustave.
- Ostavlja poruku sa zahtjevom za otkupninu i rokom za plaćanje.
Vrste
| Vrsta | Što napadač radi |
|---|---|
| šifriranje podataka | šifrira datoteke i traži otkupninu za ključ za dešifriranje |
| zaključavanje sustava | onemogućuje pristup računalu ili uređaju |
| dvostruka iznuda | uz šifriranje krade podatke i prijeti njihovom objavom |
| ransomware kao usluga (RaaS) | autori alata iznajmljuju ga drugim napadačima za udio u otkupnini |
Obveze nakon napada
- Ako su pogođeni osobni podaci, napad je povreda osobnih podataka, i kad su podaci samo šifrirani, a ne ukradeni. Voditelj obrade prijavljuje je AZOP-u u roku od 72 sata od saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za pojedince.
- Ključni i važni subjekti značajan incident prijavljuju nadležnom CSIRT-u: rano upozorenje u roku od 24 sata, početnu obavijest u roku od 72 sata i završno izvješće najkasnije 30 dana od početne obavijesti.
- Napad može ostvariti obilježja više kaznenih djela, primjerice neovlaštenog pristupa (čl. 266. Kaznenog zakona), oštećenja računalnih podataka (čl. 268.) i iznude (čl. 243.), pa se prijavljuje policiji.
Plaćanje otkupnine općenito se ne preporučuje jer ne jamči povrat podataka niti sprječava objavu ukradenih podataka. Prije bilo kakve odluke vrijedi provjeriti postoji li besplatan alat za dešifriranje na stranici No More Ransom.
Primjer
Zaposlenik u računovodstvu otvori privitak lažne e-poruke o neplaćenom računu. Tijekom vikenda napadači iznesu podatke o plaćama, a zatim šifriraju poslužitelj s dokumentima i sigurnosne kopije na mrežnom disku. U ponedjeljak tvrtka zatekne poruku sa zahtjevom za otkupninu. Budući da su pogođeni podaci zaposlenika, tvrtka u roku od 72 sata prijavljuje povredu AZOP-u, obavještava zaposlenike i obnavlja sustave iz izvanmrežne sigurnosne kopije.