Программа-вымогатель

Что это значит

Вирус-вымогатель - вредоносная программа, которая шифрует данные на компьютерах и серверах фирмы, а злоумышленники требуют выкуп за их расшифровку, чаще всего в криптовалюте. Современные атаки перед шифрованием ещё и крадут данные и грозят их опубликовать, если фирма не заплатит.

Атака чаще всего начинается с фишингового письма, украденного пароля от удалённого доступа или необновлённого ПО. Затем злоумышленник часто несколько дней или недель незаметно перемещается по сети, ищет резервные копии и чувствительные данные и только потом запускает шифрование.

Для фирмы атака означает остановку работы, потерю данных и расходы на восстановление. Если украдены персональные данные, возникает и обязанность сообщить об инциденте по GDPR, а для субъектов под NIS2 - и по нормам о кибербезопасности.

Как это работает на практике

Главная защита - резервные копии, которые злоумышленник не может удалить или зашифровать, то есть отделённые от сети или неизменяемые, и регулярно проверяемое восстановление. Без них фирма стоит перед выбором между выкупом и потерей данных.

Другие меры - двухфакторный вход, регулярные обновления, ограничение прав администратора и доступ по принципу нулевого доверия. Для нас как бухгалтерской фирмы само собой разумеется, что данные клиентов хранятся в нескольких отдельных резервных копиях.

Порядок действий при атаке должен быть частью плана непрерывности: кто принимает решения, к кому обращаться, как отключить устройства и как восстановить критические системы. Киберстрахование может покрыть расходы на специалистов и выпадение доходов.

На что обратить внимание

Уплата выкупа не гарантирует, что фирма получит данные обратно или что они не будут опубликованы. Она также финансирует новые атаки и в некоторых случаях может нарушать санкционные нормы. Решение нужно принимать со специалистами и с пониманием правовых рисков.

После атаки недостаточно восстановить данные. Нужно выяснить, как злоумышленник проник внутрь, и закрыть этот путь, иначе атака может повториться. Бухгалтерские данные после восстановления мы проверяем на полноту и дополняем то, что потерялось между последней копией и атакой.