Ransomware, w tym aktywność pre-ransomware, był najczęściej obserwowanym zagrożeniem w czwartym kwartale 2023 r, stanowiąc 28 proc. wszystkich incydentów bezpieczeństwa odnotowanych przez zespół Cisco Talos. Jest to wzrost o 17 proc. względem poprzedniego okresu. Cisco Talos zaobserwował wiele grup cyberprzestępczych wykorzystujących ransomware w tym Play, Cactus, BlackSuit i NoEscape.
Najważniejsze informacje:
- Do najpoważniejszych incydentów w ostatnim kwartale poprzedniego roku należały zagrożenia spowodowane czynnikami wewnętrznymi (insider threats) oraz kampanie phishingowe.
- Zespół Cisco Talos zareagował na wiele incydentów, w których stwierdzono dalszą aktywność cyberprzestępców po wystąpieniu ataku, chociaż same ataki miały ograniczoną skalę i były powstrzymane na wczesnym etapie.
- Edukacja i produkcja były najczęściej atakowanymi sektorami: dotyczyła ich prawie połowa wszystkich incydentów.
- Najczęściej obserwowanymi sposobami uzyskania początkowego dostępu było wykorzystanie wykradzionych danych uwierzytelniających do kont i publicznie dostępnych aplikacji: każdy z nich odpowiadał za 28 proc. przypadków.
- Brak wdrożenia uwierzytelniania wieloskładnikowego (MFA) był główną słabością systemów bezpieczeństwa, odpowiadającą za 36 proc. incydentów.
- Według dostępnych raportów, w 2023 r. nastąpił znaczny wzrost phishingu z wykorzystaniem kodów QR.
- Chociaż niesławna luka “Log4Shell” została załatana w grudniu 2021 r., po dwóch latach atakujący nadal wykorzystują podatne systemy.
Poza edukacją i produkcją, popularnymi celami były podmioty związane z opieką zdrowotną i administracją publiczną. W porównaniu z poprzednim kwartałem eksperci Cisco Talos odnotowali niewielki wzrost liczby incydentów wymierzonych w sektor edukacji, podczas gdy liczba ataków na przemysł wzrosła aż o 10 proc.
Cyberprzestępcy atakują placówki oświatowe w celu przeprowadzenia ataków ransomware lub uzyskania danych osobowych studentów i wykładowców. Szkoły o ograniczonych możliwościach i budżetach są najbardziej narażone z uwagi na niewystarczające inwestycje w cyberbezpieczeństwo lub konieczność ograniczania kosztów. Ataki mogą jednak stanowić wyzwanie nawet dla najlepiej wyposażonych szkół – dane wrażliwe są niezwykle atrakcyjnym celem gdyż są wykorzystywane do dalszych ataków, sprzedawane na forach dark web lub używane do wyłudzania pieniędzy.
Jak się chronić przed najnowszymi cyberzagrożeniami?
- Brak uwierzytelniania wieloskładnikowego pozostaje jednym z największych ryzyk bezpieczeństwa przedsiębiorstw. Wszystkie organizacje powinny wdrożyć jedną z dostępnych form takiego uwierzytelniania.
- Rozwiązania do wykrywania incydentów na punktach końcowych i reagowania na nie, takie jak Cisco Secure Endpoint, mogą wykrywać niebezpieczną aktywność w sieciach i urządzeniach organizacji.
- Atakujący często próbowali ominąć uwierzytelnianie wieloskładnikowe w rozwiązaniach Endpoint Detection and Response, aby wyłączyć ich mechanizmy ostrzegania.
- Sygnatury Snort i ClamAV mogą blokować wiele znanych narzędzi pre-ransomware, które atakujący wdrożyli w tym kwartale, takich jak Play i NoEscape.