正在推動勒索軟件事件激增的網絡風險趨勢

在新冠疫情發生之后，網絡空間也爆發了危機：由勒索軟件驅動的數字疫情。在最近發布的一份調查報告中，AGCS分析了圍繞勒索軟件的最新風險發展趨勢，并概述了企業如何通過良好的網絡安全措施和IT安全實踐來加強安全防御。

報告指出，勒索軟件事件的頻率和嚴重性不斷增加是由以下幾個因素驅動的：

?越來越多的不同攻擊模式，例如雙重勒索和三重勒索活動

?圍繞“勒索軟件即服務”和加密貨幣的犯罪商業模式

?贖金金額最近猛增

?供應鏈攻擊數量上升

AGCS全球網絡主管Scott Sayce說：“在疫情減緩之前，勒索軟件攻擊的數量仍可能會大幅增加。并非所有網絡攻擊都是有針對性的。犯罪分子還采用‘霰彈槍’的方法來攻擊那些沒有解決或不了解可能存在的漏洞的企業。作為保險公司，我們必須繼續與客戶加強合作，幫助企業了解加強安全控制的必要性。與此同時，在當今快速發展的網絡保險市場中，提供應急響應服務以及經濟補償已成為標準。”

根據埃森哲公司的調查，2021年上半年全球網絡攻擊活動數量與2020年同期相比增長了125%，勒索軟件攻擊活動是這一增長的主要推動者之一。根據美國聯邦調查局(FBI)的調查，美國的2021年上半年勒索軟件事件與2020年同期相比增加了62%，與2020年全年相比增加了20%。

這些網絡風險趨勢反映在AGCS公司的索賠經驗中，2020年總共有1000多起網絡索賠案例，遠高于2016年的約80起。具體而言，勒索軟件攻擊事件索賠的數量(90起)與2019年(60起)相比增長了50%。在過去六年中，AGCS公司受理的所有網絡攻擊事件的索賠金額大部分來自勒索軟件或分布式拒絕服務(DDoS)攻擊等外部網絡事件造成的損失。

越來越依賴數字化、新冠疫情期間遠程工作的激增以及IT預算限制只是IT漏洞加劇、為網絡犯罪分子提供無數接入點的部分原因。加密貨幣(例如比特幣)的更廣泛采用可以實現匿名支付，是勒索軟件攻擊事件增加的另一個關鍵因素。

AGCS公司北美地區網絡、技術和媒體主管Thomas Kang表示：“我們經常在媒體上聽到令人關注的復雜網絡攻擊事件，但總的來說，大多數勒索軟件攻擊都不是針對性的，技術上也并不復雜。在大多數情況下，網絡犯罪分子主要針對安全方面最脆弱的公司進行攻擊，能夠以更少的努力獲得更多的回報。”

勒索軟件攻擊的五大趨勢

該報告確定了勒索軟件領域的五個發展趨勢，盡管這些趨勢正在不斷發展，并且可能在網絡犯罪分子與企業之間的“貓捉老鼠”游戲中迅速發生變化：

(1)勒索軟件即服務

REvil和Darkside等黑客組織像商業企業一樣運營，將他們的黑客工具出售或出租給他人。他們還提供一系列支持服務。因此將會出現更多的惡意威脅行為者。

(2)從單次勒索到雙重勒索到三重勒索

網絡犯罪分子將受害者的數據或系統進行初始加密，與網絡勒索相結合，例如威脅泄露敏感數據或個人數據。在這種情況下，受到勒索的企業必須管理重大業務中斷和數據泄露事件的可能性，這會顯著增加勒索攻擊事件的最終成本。“三重勒索”事件可以結合DDoS攻擊、文件加密和數據盜竊——不僅針對受害方，還針對其潛在的客戶和業務合作伙伴進行攻擊。

(3)供應鏈攻擊將成為下一件大事

供應鏈攻擊主要有兩種類型：針對軟件/IT服務提供商并使用它們來傳播惡意軟件的類型(例如Kaseya或SolarWinds攻擊);或者針對物理供應鏈或關鍵基礎設施的網絡攻擊(例如對Colonial燃油管道的攻擊)。服務提供商很可能成為主要目標，因為他們經常為數千家企業提供軟件解決方案，因此為犯罪分子提供了獲得更多收入的機會。

(4)勒索贖金發展動態

在過去的18個月里，勒索贖金金額猛增。根據Palo Alto Networks公司的調查，2021年上半年美國的平均每筆勒索贖金為530萬美元，與2020年的平均水平相比增長了518%。最高勒索贖金為5000萬美元，高于2020年的最高3000萬美元。支付給黑客的平均金額比要求的勒索贖金低10倍左右，但這種普遍的上升趨勢令人擔憂。

(5)支付還是不支付贖金

贖金支付是一個有爭議的話題。執法機構通常建議不要支付勒索要求，以免進一步激勵網絡攻擊。即使受害者決定支付贖金，其損失也可能已經造成。即使受害者擁有解密密鑰，恢復系統和業務也是一項艱巨的任務。

業務中斷和恢復成本是造成損失的主要驅動因素

業務中斷和恢復成本是勒索軟件攻擊等網絡損失的最大驅動因素。六年多來，它們占到近3000起保險業網絡索賠金額50%以上，高達7.5億歐元(8.85億美元)。

勒索軟件攻擊造成的恢復和停機的平均總成本(恢復時間平均為23天)翻了一番多，從去年的761106美元增加到2021年的185萬美元。

近年來，勒索軟件攻擊的激增引發了網絡保險市場的重大轉變。經紀商Marsh公司表示，網絡保險費率一直在上升，而提出的索賠要求越來越高。網絡保險承銷商正在對企業采用的網絡安全控制進行越來越多的審查。

AGCS公司全球網絡承保主管Marek Stanislawski解釋說：“75%的企業不符合AGCS的網絡安全要求，這些企業需要投資加強網絡安全。如果遵循最佳實踐，就可以避免損失。因為敞開門的房子比鎖著的房子更容易被盜。”

IT安全最佳實踐

AGCS公司發布了一份清單，其中包含有效網絡風險管理的建議。AGCS公司風險咨詢全球網絡專家Rishi Baviskar說：“在大約80%的勒索軟件攻擊事件中，如果企業遵循最佳做法，其損失是可以避免的。定期修補、多因素身份驗證、信息安全和意識培訓以及事件響應計劃對于避免勒索軟件攻擊至關重要，同時也是良好的網絡安全措施。如果企業堅持采納最佳實踐建議，他們很有可能不會成為勒索軟件的受害者。許多安全漏洞通常可以通過簡單的措施來彌補。”

為了減少網絡攻擊帶來的損失，網絡保險已經發展成為提供緊急事件響應服務，通常包括訪問專業危機管理人員、IT取證支持和法律咨詢。其他服務包括為員工提供IT安全培訓以及協助制定網絡危機管理計劃。