Ransomware-Betreiber nehmen zunehmend einflussreiche Manager ins Visier, berichtet Zscaler

Laut einer Untersuchung des ThreatLabz-Teams von Zscaler wählen Ransomware-Gruppen ihre Opfer zunehmend danach aus, wie stark diese Geschäftsentscheidungen beeinflussen, statt ausschließlich Führungskräfte oder Systemadministratoren anzugreifen.

Die Forscher untersuchten 351 Opfer in 334 Organisationen, die innerhalb eines Monats von einer Ransomware-Kampagne betroffen waren. Fast zwei Drittel der Opfer hatten Managementpositionen oder höhere Funktionen inne, während das Durchschnittsalter bei 46 Jahren lag. Etwa 75 Prozent arbeiteten in den Bereichen Buchhaltung und Finanzen, Vertrieb, Betrieb, Personalwesen oder Marketing. Auf Industrie- und IT-Organisationen entfiel zusammen etwa die Hälfte der betroffenen Arbeitgeber.

Zscaler zufolge kombinieren Angreifer offenbar Informationen aus kompromittierten Netzwerken mit öffentlich verfügbaren Materialien, um Organisationsstrukturen zu verstehen. Diese Aufklärung kann ihnen dabei helfen, Mitarbeiter zu identifizieren, die Genehmigungen für Zahlungen, Lieferantenbeziehungen, Budgets, Verträge, Kundenkonten oder vertrauliche Personalunterlagen beeinflussen.

In diesem Zusammenhang unterscheiden die Forscher zwischen technischen Zugriffsrechten und dem, was sie als „geschäftliche Zugriffsrechte“ bezeichnen. Ein Konto muss keinen administrativen Zugriff besitzen, um wertvoll zu sein, wenn sein Inhaber Ausgaben genehmigen, Abteilungen koordinieren oder den Umgang mit einem Vorfall beeinflussen kann. Etablierte Manager in ihren Vierzigern und Fünfzigern können besonders nützlichen Zugriff auf Geschäftsprozesse und Entscheidungsträger bieten, ohne dass die Führungsebene direkt kompromittiert werden muss.

Die Untersuchung ergab außerdem, dass mehr als ein Dutzend Organisationen meldeten, dass mehrere Mitarbeiter kompromittiert worden waren. Dieses Muster deutet darauf hin, dass einige Angreifer sich nach dem ersten Zugriff über mehrere Geschäftsbereiche hinweg ausbreiteten, möglicherweise um ihren Datenzugriff zu erweitern und den Druck auf die betroffene Organisation zu erhöhen.

Erpressung über die Verschlüsselung hinaus

Die Ergebnisse stehen im Einklang mit einer umfassenderen Entwicklung hin zu Datendiebstahl und Erpressung, anstatt sich ausschließlich auf die Verschlüsselung von Dateien zu verlassen. Zscaler berichtete, dass die von seiner Cloud-Plattform blockierten Ransomware-Aktivitäten im Vergleich zum Vorjahr um 146 Prozent gestiegen sind. Außerdem verzeichnete das Unternehmen einen Anstieg öffentlich bekannt gewordener Erpressungsvorfälle um 70 Prozent sowie eine Zunahme der von Opfern gestohlenen Datenmenge um 92 Prozent.

Der Bericht unterstreicht, wie wichtig es für Organisationen ist, geschäftskritische Konten ebenso sorgfältig zu schützen wie herkömmliche Konten mit privilegiertem Zugriff. Zugriffsüberprüfungen, Multifaktor-Authentifizierung, Segmentierung, die Überwachung ungewöhnlicher Kontoaktivitäten und eingeübte Pläne zur Reaktion auf Sicherheitsvorfälle können dazu beitragen, die Auswirkungen gezielter Ransomware-Angriffe zu verringern.