حملات باج افزار در مقابل نقض داده ها: تفاوت چیست؟

به نظر می رسد حملات باج افزار و نقض داده ها به طور مداوم برای موقعیت های برتر در فیدهای خبری رقابت می کنند. اما تفاوت بین این تهدیدات سایبری چیست و کدام یک باید بیشتر نگران باشید؟

برای تفکیک جامع هر نوع حمله سایبری، ادامه مطلب را بخوانید.

تفاوت بین نقض داده ها و حملات باج افزار چیست؟

در طول یک حمله باج افزار، مجرمان سایبری بدافزار (نرم افزار مخرب) را در سیستم های کامپیوتری هدفمند مستقر می کنند تا داده های حساس را ضبط و رمزگذاری کنند. کلید رمزگشایی تنها در صورتی ارائه می شود که قربانی با پرداخت باج مطابقت داشته باشد.

درخواست باج معمولا فقط با بیت کوین یا یک ارز دیجیتال مشابه قابل پرداخت است زیرا ردیابی فعالیت در شبکه پرداخت غیرمتمرکز بسیار دشوار است.

در طول نقض داده ها، مجرمان سایبری قصد دارند به اطلاعات حساس دسترسی داشته باشند و آنها را سرقت کنند. نمونه هایی از داده های حساس عبارتند از:

• شماره های تامین اجتماعی.
• جزئیات کارت اعتباری.
• کلمه عبور.
• داده های شخصی.
• شماره تلفن ها ضربه بزنید؛

دسترسی به هر یک از اطلاعات فوق می تواند منجر به ضرر مالی یا سرقت هویت شود.

تفاوت اصلی بین این دو حادثه سایبری هم در سرعت و هم در درجه به خطر افتادن داده های حساس است، جایی که به خطر افتادن به عنوان استفاده مخرب از داده های حساس تعریف می شود.

معمولا در طول یک حمله باج افزار ساده، داده های حساس در معرض دید عموم قرار نمی گیرند. رمزگذاری شده است و برای هر کسی بدون کلید توضیحات غیرقابل دسترسی است.

عوامل تهدید مسئول حمله به کلید رمزگشایی دسترسی دارند، اما بعید است که داده های توقیف شده را بررسی کنند، زیرا انگیزه آنها سود پولی است و اسرار شرکت را فاش نمی کنند - زمان بهتر است صرف جستجوی قربانیان جدید شود تا اینکه فایل های حساس را مرور کنید.

از آنجایی که کمپین های باج افزار زمانی که حملات با سرعت اجرا می شوند، سودآورتر هستند، کل گردش کار معمولا خودکار است. به جای مدیریت دستی کلید رمزگشایی منحصر به فرد هر قربانی، آنها در سرورهای فرمان و کنترل جداگانه ذخیره می شوند و هنگام پرداخت باج به طور خودکار برای قربانیان صادر می شوند.

اگر مجرمان سایبری می خواستند به فایل های رمزگذاری شده هر قربانی دسترسی داشته باشند، باید هر کلید رمزگشایی منحصر به فرد را پیدا کرده و از آن استفاده کنند. این فرآیند دشوار زمان را تلف می کند و مانع حاشیه سود می شود، بنابراین معمولا از آن اجتناب می شود.

اما این محدودیت راحت در طول حملات باج افزار اخاذی مضاعف منفجر می شود. این زمانی است که قربانی باج افزار تهدید می شود که در صورت عدم پرداخت تا تاریخ مقرر، داده های توقیف شده خود را در وب تاریک منتشر می کند.

برای ایجاد انگیزه در پرداخت های سریع تر، گاهی اوقات مجرمان سایبری فورا شروع به انتشار سریع داده های ضبط شده قربانی می کنند تا زمانی که باج پرداخت شود.

در طول نقض داده ها، داده های حساس سرقت شده عمدا قابل دسترسی هستند تا بتوان آنها را به خطر انداخت - معمولا با فروش در انجمن های وب تاریک.

اما سود پولی همیشه انگیزه نقض داده ها نیست. گروه های هکتیویست آزادانه داده های سرقت شده را منتشر می کنند تا نهادهایی را که با برنامه های شخصی آنها همسو نیستند، افشا کنند.

اما اخیرا مرز بین نقض داده ها و حملات باج افزار به شدت باریک شده است. با توجه به اینکه FBI به شدت پیام های خود را مبنی بر عدم رعایت درخواست های باج گیری تحت فشار قرار می دهد، مجرمان سایبری با یک ضد حمله به همان اندازه تهاجمی پاسخ داده اند تا قربانیان را متقاعد کنند که خلاف این کار را انجام دهند.

این منطقه مناقصه زمانی ایجاد می شود که داده های حساس قبل از رمزگذاری با باج افزار استخراج شوند. از آنجایی که این استراتژی بسیار موثر است، به سرعت در حال تبدیل شدن به ویژگی استاندارد حملات باج افزار مدرن است.

استخراج نه تنها حس فوریت ایجاد می کند، بلکه مجرمان سایبری را برای توجه رسانه های افترا آمیز مسلح می کند.

چنین دنباله اخاذی مشخصه باج افزار Maze است. اگر قربانی باج افزار Maze نتواند پرداخت کند، یک بیانیه مطبوعاتی آماده شده فورا بین نهادهای رسانه ای و وب سایت های شرمنده توزیع می شود تا حمله سایبری موفقیت آمیز را به اطلاع عموم برساند.

شرکت های سهامی عام با عوامل تهدید باج افزار Maze به شدت مجازات می شوند و همچنین یک بیانیه مطبوعاتی دقیق را مستقیما به بورس اوراق بهادار ارسال می کنند و سهام قربانی را فهرست می کنند.

آیا حمله باج افزار به عنوان نقض داده طبقه بندی می شود؟

از آنجایی که حملات باج افزار مدرن به قلمرو نقض داده ها تجاوز می کنند، الزامات اطلاع رسانی نقض داده ها برای صنایع تنظیم شده باید دوباره ارزیابی شود.

مقررات زیادی وجود دارد که قربانیان نقض داده ها را اجرا می کند تا همه طرف های آسیب دیده و سازمان های دولتی را از هر حادثه سایبری مطلع کنند.

در حال حاضر، همه 50 ایالت آمریکا و همچنین کشورهای بین المللی از جمله اتحادیه اروپا، چین، برزیل و هند، مقررات اطلاع رسانی نقض داده ها را اجرا کرده اند که دو مورد از آنها HIPAA و GDPR (در اتحادیه اروپا) هستند.

قانون حفظ حریم خصوصی HIPAA (قانون حمل و نقل و پاسخگویی بیمه سلامت) با هدف محافظت از اطلاعات سلامت بیمار در برابر هکرها با کاهش پتانسیل دسترسی غیرمجاز است.

برای اجرای بهبود مستمر در امنیت داده ها، نهادهای تحت نظارت باید از قانون اطلاع رسانی نقض HIPAA پیروی کنند.

با توجه به وزارت بهداشت و خدمات انسانی ایالات متحده (HHS.gov) نقض قابل اطلاع به شرح زیر تعریف می شود:

"استفاده یا افشای غیرمجاز تحت قانون حفظ حریم خصوصی که امنیت یا حریم خصوصی اطلاعات بهداشتی محافظت شده را به خطر می اندازد."

بر اساس این تعریف، اگر داده های خصوصی بیمار علاوه بر رمزگذاری شدن، حمله باج افزار به عنوان نقض داده های قابل اطلاع طبقه بندی می شود.

اگر فقط سیستم عامل ها رمزگذاری شده باشند اما هیچ داده حساسی استخراج نشود، این رویداد به عنوان نقض داده طبقه بندی نمی شود و بنابراین، طبق قانون اطلاع رسانی HIPAA نیازی به اطلاع رسانی نخواهد داشت.

از آنجایی که حملات باج افزار در حال افزایش پیچیدگی هستند، تاکتیک های استخراج مخفیانه فقط بهبود می یابند. بنابراین بسیار ایمن تر است که فرض کنیم هر حمله باج افزار با استخراج داده ها همراه بوده است.

چنین فرض جسورانه، حتی اگر نادرست باشد، از جریمه بالقوه سنگین برای عدم رعایت قانون اطلاع رسانی HIPAA جلوگیری می کند.

مجازات های مدنی برای عدم انطباق از 100 تا 50,000 دلار برای هر تخلف با سقف سال تقویمی 1,500,000 دلار متغیر است.

الزامات اطلاع رسانی برای نقض داده ها و حملات باج افزار

تمام مقررات امنیت سایبری مستلزم آن است که رویدادهای نقض داده ها در اسرع وقت به نهادهای نظارتی مربوطه اطلاع داده شود. برخی از الزامات گزارش دهی در سطح ایالتی بسته به احتمال از دست دادن داده های حساس افراد آسیب دیده متفاوت است.

برای جلوگیری از جریمه های نظارتی، سعی کنید ظرف 24 ساعت و حداکثر 72 ساعت پس از نقض، نهادهای نظارتی را از نقض مطلع کنید. چنین روش گزارش دهی مثال زدنی باید با اکثر استانداردهای نظارتی از جمله GDPR مطابقت داشته باشد.

مگر اینکه کاملا مطمئن باشید که حمله باج افزار با استخراج داده ها همراه نبوده است، همه این رویدادها باید به عنوان نقض داده ها در نظر گرفته شوند و بر این اساس گزارش شوند.

آیا حمله باج افزار تحت GDPR نقض داده در نظر گرفته می شود؟

تعریف نقض داده ها توسط دفتر کمیساریای بین المللی (ICO) گسترده تر از تعریف وزارت بهداشت و خدمات انسانی ایالات متحده است. در نتیجه، حملات باج افزار و رویدادهای نقض داده ها همپوشانی بیشتری دارند.

به گفته ICO، شرایط زیر نقض داده ها را تشکیل می دهد:

• دسترسی توسط شخص ثالث غیرمجاز.
• اقدام عمدی یا تصادفی (یا بی عملی) توسط یک کنترل کننده یا پردازنده.
• ارسال اطلاعات شخصی به گیرنده نادرست.
• دستگاه های محاسباتی حاوی داده های شخصی که گم می شوند یا به سرقت می روند.
• تغییر داده های شخصی بدون اجازه.
• از دست دادن در دسترس بودن داده های شخصی.

با هم، این شرایط می تواند هر رویداد حمله باج افزار را به عنوان نقض داده طبقه بندی کند:

• اگر یک حمله باج افزار اخاذی چندگانه اجرا شود (که هرگز نمی توان آن را به طور قطع شناخت)، داده های حساس نیز استخراج می شوند.
• حتی اگر هیچ خروج رخ ندهد، رمزگذاری باعث از دست دادن در دسترس بودن داده ها می شود.
• برخی از انواع باج افزار می توانند باعث تغییر غیرمجاز اطلاعات شخصی شوند.

بسیاری از سازمان هایی که استراتژی پشتیبان گیری قابل اعتماد دارند، همچنان فرض می کنند که اگر داده های رمزگذاری شده به سرعت با پشتیبان گیری تمیز جایگزین شوند، اعلان نقض غیرضروری است.

اگر در دسترس بودن داده های شخصی تنها شرط نقض داده ها باشد، این یک فرض دقیق خواهد بود، اما از آنجایی که تغییر داده های شخصی و دسترسی غیرمجاز نیز شرایط ICO هستند، یک استراتژی پشتیبان گیری کارآمد ممکن است اعلان نقض را نفی نکند.

تصمیم نهایی در مورد اینکه آیا یک حمله باج افزار قابل گزارش تلقی می شود یا خیر، بر عهده افسر حفاظت از داده ها (DPO) تعیین شده شما است.

چگونه از حملات باج افزار و نقض داده ها جلوگیری کنیم

از آنجایی که همپوشانی بین حملات باج افزار و نقض داده ها فقط افزایش می یابد، هر دو به یک واکنش کامل به حوادث امنیت سایبری و شیوه های پیشگیری نیاز دارند - برنامه های بازیابی فاجعه و استراتژی های تداوم کسب و کار به تنهایی دیگر کافی نیستند.

برای جلوگیری از پیشرفت حوادث به تصمیمات اطلاع رسانی خسته کننده، یک چارچوب امنیتی که احتمال موفقیت جرایم سایبری را به حداقل می رساند نیز باید اجرا شود.

چنین چارچوبی را می توان در 5 فاز مستقر کرد.

1. آموزش کارکنان

انسان ها همیشه ضعیف ترین حلقه ها در یک برنامه امنیت اطلاعات خواهند بود. حتی با سخاوتمندانه ترین بودجه امنیت سایبری، یک تعامل با یک ایمیل آلوده می تواند دفاع های پرهزینه را دور بزند و باعث نقض داده ها شود.

برای جلوگیری از این امر، کارکنان باید برای شناسایی بردارهای حمله محبوب، یعنی ایمیل های فیشینگ آموزش ببینند، زیرا آنها هنوز یک انتخاب محبوب در بین مجرمان سایبری هستند.

شناسایی ایمیل های فیشینگ دشوار می شود. برخی از انواع قانع کننده تر ادعا می کنند که از یک سازمان مجری قانون هستند که تهدید می کنند در صورت عدم انجام اقدام مورد نظر، عواقب آن را تهدید کنند.

برخی دیگر ادعا می کنند که از مقامات مراقبت های بهداشتی هستند که اطلاعات فوری مربوط به همه گیری را به اشتراک می گذارند.

از این می توان برای آموزش کارکنان در مورد جزئیات فیشینگ ایمیل استفاده کرد.

از این می توان برای پیاده سازی بهترین شیوه های امنیت ایمیل استفاده کرد.

رسانه های اجتماعی یکی دیگر از بردارهای حمله در حال ظهور هستند که می توان با آموزش به آن رسیدگی کرد. کارکنان باید همیشه از حساب های شرکتی خارج شوند تا از ربودن جلسه جلوگیری کنند و هرگز روی پیوندهای ارسال شده توسط پرس و جو از "مشتریان" کلیک نکنند.

2. نرم افزار شخص ثالث را به روز نگه دارید

ارائه دهندگان شخص ثالث به طور مرتب وصله های امنیتی را برای اصلاح آسیب پذیری های قابل بهره برداری صادر می کنند. این وصله ها معمولا از طریق آخرین به روز رسانی های نرم افزاری در دسترس هستند.

مطمئن شوید که همه نرم افزارها را به روز نگه دارید، به خصوص نرم افزار آنتی ویروس، زیرا به روز رسانی موتورهای مانیتورینگ آنها را از آخرین تهدیدات سایبری آگاه می کند.

پایگاه داده آسیب پذیری ها و قرار گرفتن در معرض مشترک نیز باید به طور منظم برای کشف آسیب پذیری هایی که هنوز توسط طرف های آسیب دیده مورد توجه قرار نگرفته اند، ارجاع داده شود.

3. یک راه حل نظارت بر سطح حمله را پیاده سازی کنید

یک راه حل نظارت بر سطح حمله، کل سطح حمله سازمان را برای آسیب پذیری هایی که می تواند حملات باج افزار و نقض داده ها را تسهیل کند، اسکن می کند.

با شناسایی و اصلاح این مواجهه ها قبل از سوء استفاده توسط مجرمان سایبری، نهادهای بسیار نظارتی، مانند ارائه دهندگان مراقبت های بهداشتی، می توانند احتمالات نقض داده ها را به حداقل برسانند و به انطباق زیرکانه با مقررات دست یابند.

4. مدیریت امنیت شخص ثالث با ارزیابی ریسک

فروشندگان شخص ثالث در معرض خطر بیش از 60 درصد از رویدادهای نقض داده ها را تشکیل می دهند. بنابراین، ضروری است که به طور مداوم وضعیت های امنیتی کل شبکه فروشنده خود را نظارت کنید.

ارزیابی ریسک باید به طور منظم توزیع شود تا هر گونه نقص در چارچوب های امنیت سایبری مربوطه شناسایی شود. برای حداکثر کارآیی، رتبه بندی های امنیتی نیز باید برای تأیید مشروعیت پاسخ های ارزیابی ریسک و تلاش های اصلاحی ارجاع داده شود.

5. همه فروشندگان شخص ثالث را ردیف کنید

طبقه بندی فروشنده فروشندگان را بر اساس سطح ریسک امنیتی آنها دسته بندی می کند. این امر توزیع کارآمدتری از تلاش های مدیریت ریسک ایجاد می کند تا فروشندگانی که بیشترین احتمال سازش را دارند با توجه بیشتری مدیریت شوند.

چنین رویکرد هوشمندانه ای برای مدیریت ریسک شخص ثالث (TPRM) پتانسیل حملات باج افزار و نقض داده ها را که از طریق پیچیده ترین سطح حمله - شبکه شخص ثالث رخ می دهد، تا حد زیادی کاهش می دهد.

یک استراتژی برای مبهم کردن تلاش های حمله باج افزار بیاموزید.