Kaksois- ja kolmoiskiristys: Kun lunnasohjelmat kohdistuvat asiakkaisiisi

Vuosien ajan vakiintunut vastaus lunnasohjelmahyökkäyksiin tiivistyi yhteen rauhoittavaan lauseeseen: "Varmuuskopiomme ovat kunnossa, pystymme palauttamaan tietojärjestelmämme." Nykypäivänä tämä varmuus murenee. Kun ammattimainen kyberrikollisryhmä murtautuu verkkoonne, palvelinten kryptaaminen on usein vasta tuhoisan hyökkäysketjun viimeinen näkyvä vaihe. Rikolliset viettävät viikkoja eksfiltroimalla luottamuksellista dataa ennen järjestelmien lukitsemista, mikä muuttaa puhtaasti teknisen poikkeaman massiiviseksi mainekriisiksi.

Painajainen syvenee entisestään, kun hyökkääjät eivät enää neuvottele pelkästään tietohallintojohtajan tai toimitusjohtajan kanssa. Ottamalla suoraan yhteyttä asiakkaisiinne, alihankkijoihinne, potilaisiinne tai mediaan he luovat sietämätöntä psykologista painetta. Tällaisessa monitasoisessa kiristystilanteessa kriisinhallinta ei rajoitu kiintolevyjen palauttamiseen: se edellyttää saumatonta hallintoa, kriisiviestintää kovassa paineessa sekä selkeitä toimintamalleja, jotka koko johtoryhmä ja hallitus hallitsevat.

Mitä kolmoiskiristys tarkoittaa kyberturvallisuudessa ja miten kriisiryhmä valmistellaan?#

Tiivistelmä : Kolmoiskiristys yhdistää datan salauksen, varastetun tiedon julkaisemisella uhkailun sekä asiakkaiden, yhteistyökumppaneiden tai viranomaisten suoran häirinnän. Valmistautuminen vaatii kriisiryhmältä viestinnän, juridiikan ja teknisen toiminnan yhteensovittamista realistisissa simulaatioharjoituksissa, joissa mallinnetaan ulkoista paniikkia.

Jotta riskin mittakaava hahmottuu, järjestäytyneiden ryhmien hyödyntämä kolmiportainen taktiikka on syytä jakaa osiin:

• Ensimmäinen kiristys (pääsyn estäminen) : Rikollisryhmä salaa virtuaalipalvelimet ja tietokannat, minkä jälkeen he vaativat lunnaita salauksenpurkuavaimesta.
• Toinen kiristys (tietovuoto) : Hyökkääjät julkaisevat datanäytteitä pimeän verkon vuotosivustollaan (DLS, Data Leak Site) ja uhkaavat kaikkien tiedostojen julkistamisella, mikäli maksua ei suoriteta.
• Kolmas kiristys (epäsuora painostus) : Rikolliset lähettävät kohdennettuja sähköposteja tai tekstiviestejä asiakkaillenne ja kumppaneillenne kertoen, että heidän talous- tai terveystietonsa ovat varkaiden käsissä, kehottaen heitä vaatimaan organisaatiotanne maksamaan. Toisinaan hyökkääjät tekevät samanaikaisesti palvelunestohyökkäyksiä (DDoS) lamauttaakseen asiakaspalvelunne tai verkkosivustonne.

Tämä toimintatapa ohittaa muuttumattomienkin (immutable) varmuuskopioiden tuoman suojan. Vaikka IT-tiimi palauttaisi palvelimet muutamassa tunnissa, mittava tietovuotoriski ja sidosryhmien hätä säilyvät ennallaan.

Miksi varmuuskopiot eivät enää riitä kriisin hallintaan?#

Tiivistelmä : Täydellisistäkin varmuuskopioista huolimatta liikesalaisuuksien tai henkilötietojen vuotaminen altistaa organisaation seuraamusmaksuille ja luottamuspulalle. Tekninen palautustoiminta ei neutraloi julkista kiristystä eikä juridista vastuuta.

Nykyaikaisessa hyökkäyksessä datan anastus tapahtuu ennen järjestelmien lamaannuttamista. Tämän vuoksi CISO:n ja johtoryhmän ydinkysymys muuttuu ratkaisevasti: kyse ei ole enää vain siitä, milloin palvelimet saadaan käyntiin, vaan siitä, mitä dataa rikolliset veivät ja miten juridiset seuraamukset rajataan (GDPR, Kyberturvallisuuslaki eli NIS 2).

Perinteisen puolustusaseman heikkoudet

• Neuvottelun dilemma : Yhteydenpidosta kieltäytyminen saattaa nopeuttaa arkaluonteisten aineistojen julkaisua, mutta maksaminen ei takaa varastetun datan todellista hävittämistä.
• Viestinnän ylikuormitus : Asiakaspalvelukanavat ja puhelinvaihteet tukkeutuvat nopeasti, kun huolestuneet ja vihaiset kumppanit saavat suoria uhkauksia rikollisilta.
• Välitön juridinen ilmoitusvelvollisuus : Velvollisuus ilmoittaa Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa ja tiedottaa rekisteröidyille henkilökohtaisesti asettaa organisaation valokeilaan ennen kuin rikostekninen tutkinta on edes valmis. Myös Traficomin Kyberturvallisuuskeskus (NCSC-FI) ja finanssialalla Finanssivalvonta (DORA) edellyttävät viiveetöntä raportointia.

Kyberkriisin johtamisesta muodostuu monialainen haaste, jossa lakitiimillä, viestinnällä ja liiketoimintajohdolla on yhtä suuri vastuu kuin verkkoturva-asiantuntijoilla.

Miten vahvistaa johdon refleksejä kiristystilanteessa?#

Teoria ei valmista ketään siihen paineeseen, jonka strategiselle asiakkaalle tullut suora uhkauspuhelu tai sosiaalisessa mediassa leviävä tietokantaote aiheuttaa. Äkillisessä stressitilanteessa harjaantumaton kriisiryhmä tekee kriittisiä virheitä: antaa hätiköityjä lausuntoja, tekee katteettomia lupauksia tai turvautuu hiljaisuuteen, joka tuhoaa luottamuksen.

Pelkät paperipohjaiset pöytäharjoitukset (tabletop) staattisine skenaarioineen paljastavat nopeasti rajansa. Jotta päättäjät voivat kokea tilanteen todellisen luonteen, Brain Security on kehittänyt Cybersecurity is not a game -ratkaisun (CINAG). Kyseessä on räätälöity kyberkriisiharjoituksen simulaattori, joka asettaa johtoryhmän ja kriisiryhmän realististen valintojen eteen: suoria tietovuotoja, valetoimittajien aggressiivisia tiedusteluja ja hermostuneiden valeasiakkaiden yhteydenottoja.

Harjoittelemalla hallitussa mutta aikapaineistetussa ympäristössä tiimit oppivat luokittelemaan häiriön vakavuuden, koordinoimaan viestinnän linjaukset ja tekemään strategiset päätökset hallitusti ilman hätiköintiä. Organisaation sietokykyä ei mitata murtamattomalla suojauksella, vaan kollektiivisella kyvyllä säilyttää toimintakyky silloin, kun hyökkäys heijastuu suoraan koko liiketoimintaekosysteemiin.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cybersecurity is not a game

Valmistele johtoryhmäsi kohtaamaan odottamaton#

Kaksois- ja kolmoiskiristyksen yleistyminen todistaa, että kyberturvallisuus on noussut kokonaisvaltaiseksi hallintokysymykseksi. Onko organisaatiollanne valmiit toimintaohjeet tilanteeseen, jossa asiakkaanne saisivat huomenna suoran kiristysviestin teidän nimissänne?

Johtoketjun ja kriisiprosessien säännöllinen testaaminen on ainoa keino muuttaa epävarmuus hallituksi toimintakyvyksi. Mikäli haluat tietää, kuinka rakentaa organisaatiollenne sopivat kriisiskenaariot ja harjoituskokonaisuudet, keskustele asiantuntijoidemme kanssa ja varaa tapaaminen Brain Securityn tiimin kanssa.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Varjo-IT hallintaan : Miten hillitä hallitsemattomia työkaluja estämättä liiketoimintaa? (Cyber Crisis & Ransomware) : Ymmärrä varjo-IT:n riskit ja sovita tietoturva yhteen liiketoiminnan tarpeiden kanssa avoimen vuoropuhelun ja jatkuvan koulutuksen avulla.
• Kyberturvallisuuden tabletop-harjoitus: 5 realistista skenaariota kriisiryhmälle (Cyber Crisis & Ransomware) : Tehosta organisaationne kyberharjoitusta viidellä realistisella syötteellä. Testaa johtoryhmän ja kriisiryhmän reagointikyky tositilanteessa.
• Tietoturvaloukkaus ja GDPR 72 tuntia: Miksi ensihavainto ratkaisee ilmoitusvelvollisuuden (Cyber Crisis & Ransomware) : GDPR 72 tunnin ilmoitusvelvollisuus riippuu työntekijöiden nopeudesta. Lue, miten madaltaa ilmoituskynnystä ja suojata organisaation maine.
• VIP-johdon ja johdon assistenttien kyberturva: Johtoryhman lahipiirin suojaaminen (Industries & Roles) : Miksi johtoryhma ja johdon assistentit joutuvat whaling-hyokkaysten kohteeksi ja miten rakennetaan toimiva kyberturva ylimmalle johdolle.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cybersecurity is not a game : Vuorovaikutteinen kriisisimulaatio ja päätöksentekoharjoitus (Cybersecurity is not a game) johdolle ja tietoturvatiimeille.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)