ГК Softline: почему хакеры все чаще крадут корпоративные секреты вместо шифрования систем

Злоумышленники все чаще проникают в корпоративные сети ради кражи конфиденциальной информации.

Их интересуют технологические разработки, исходные коды, финансовые документы и клиентские базы, которые можно продать, использовать для шантажа или подготовки новых атак. Для бизнеса такая утечка может оказаться опаснее временной остановки ИТ-систем: восстановить инфраструктуру из резервных копий возможно, но вернуть похищенные данные уже нельзя.

В ГК Softline обращают внимание, что кибершпионаж сложнее обнаружить, поскольку злоумышленники стараются как можно дольше оставаться незамеченными. Они изучают внутреннюю инфраструктуру, получают доступ к новым системам и постепенно собирают информацию, не нарушая привычную работу компании.

Почему хакерам выгоднее красть информацию

При атаке с использованием программ-вымогателей преступники шифруют файлы и требуют деньги за восстановление доступа. Их доход зависит от того, согласится ли компания заплатить выкуп. Кража данных дает злоумышленникам больше вариантов: документы можно продать, использовать для давления на руководство или изучить для подготовки следующего взлома.

В некоторых случаях преступники совмещают оба подхода. Сначала незаметно копируют конфиденциальную информацию, затем угрожают ее публикацией, после чего могут зашифровать часть инфраструктуры. Даже если компания восстановит работу из резервных копий, похищенные документы останутся у атакующих.

По оценке специалистов ГК Softline, именно возможность многократного использования украденной информации делает такие атаки особенно опасными. Последствия утечки могут проявиться значительно позже самого инцидента, когда преступники попытаются использовать полученные сведения против компании, ее клиентов или партнеров.

Какие корпоративные данные интересуют злоумышленников

Цели атакующих зависят от отрасли. Для промышленных предприятий особую ценность представляют чертежи, технологические карты, спецификации оборудования и документация по модернизации производства. Раскрытие таких сведений может привести к коммерческим потерям и создать дополнительные риски для производственных процессов.

В финансовом секторе преступники охотятся за клиентскими базами, сведениями о транзакциях, внутренними регламентами и данными о платежной инфраструктуре. Даже небольшая утечка может помочь злоумышленникам подготовить мошеннические обращения к клиентам или более точную атаку на сотрудников.

Для транспортных и логистических компаний интерес представляют маршруты, графики перевозок, складские остатки и сведения о контрагентах. В технологических организациях под угрозой оказываются исходные коды, архитектура программных продуктов, результаты исследований и планы разработки.

В Softline мы считаем, что при оценке рисков необходимо учитывать ценность информации для бизнеса. Небольшой архив с проектной документацией или коммерческими условиями может представлять для преступников большую ценность, чем обширная база менее значимых файлов.

Как хакерам удается оставаться незамеченными

Кибершпионаж часто начинается с фишингового письма, похищенного пароля, уязвимости в программном обеспечении или подключения через скомпрометированного подрядчика. Получив первоначальный доступ, преступники изучают корпоративную сеть, ищут учетные записи с расширенными полномочиями и постепенно получают доступ к новым системам.

Их целями становятся файловые хранилища, электронная почта, базы данных, системы управления взаимоотношениями с клиентами (CRM), корпоративные системы планирования ресурсов (ERP) и электронного документооборота.

При этом злоумышленники могут использовать обычные инструменты администрирования, уже установленные в инфраструктуре. Это затрудняет обнаружение атаки, поскольку отдельные действия напоминают работу системного администратора.

В ГК Softline обращают внимание, что отсутствие заметных сбоев не гарантирует безопасности. При кибершпионаже преступники заинтересованы в длительном доступе к данным, поэтому стараются избегать действий, которые могут привлечь внимание службы информационной безопасности.

Почему резервные копии не защищают от утечек

Резервное копирование помогает восстановить работу после сбоя или шифрования файлов, но не предотвращает использование информации, которая уже оказалась у преступников. Поэтому компаниям необходимо контролировать доступ к конфиденциальным документам и отслеживать подозрительные действия внутри корпоративной сети.

В ГК Softline мы рекомендуем начинать с определения наиболее ценных данных: коммерческих секретов, исходных кодов, финансовых документов, сведений о клиентах и технологических разработках. Затем необходимо установить, где хранится эта информация и кто имеет к ней доступ.

Для защиты учетных записей с расширенными правами используются многофакторная аутентификация и системы контроля привилегированного доступа (PAM). Обнаруживать подозрительные действия помогают платформы анализа событий безопасности (SIEM) и средства обнаружения и реагирования на угрозы (EDR и XDR).

Предотвращать несанкционированную передачу конфиденциальной информации позволяют системы защиты от утечек данных (DLP). Однако результат зависит от настройки инструментов и работы специалистов, которые должны своевременно проверять предупреждения и реагировать на подтвержденные инциденты.

Как ограничить действия злоумышленников внутри сети

Еще один способ защиты связан с разделением корпоративной инфраструктуры на сегменты. Если доступ между системами ограничен, преступникам сложнее перемещаться по сети после первоначального проникновения и получать информацию из других подразделений.

Наши эксперты Softline также рекомендуют регулярно устранять уязвимости, проверять настройки информационных систем и контролировать внешние подключения. Особое внимание необходимо уделять подрядчикам, поскольку компрометация технологического партнера может стать способом проникновения в инфраструктуру заказчика.

Не менее важна подготовка сотрудников. Фишинговые письма и поддельные страницы авторизации остаются возможными способами кражи учетных данных, поэтому персонал должен уметь распознавать подозрительные обращения и соблюдать правила работы с конфиденциальной информацией.

В ГК Softline мы считаем, что защита от кибершпионажа требует совместной работы технических средств и внутренних процессов безопасности. Компания должна не только обнаруживать подозрительную активность, но и понимать, кто принимает решение об ограничении доступа и какие действия необходимо выполнить при подтверждении утечки.

Что меняется для бизнеса

Кража корпоративной информации может иметь последствия даже после полного восстановления ИТ-инфраструктуры. Похищенные документы способны использовать для мошенничества, шантажа, конкурентной разведки и новых атак, поэтому оценивать ущерб только по времени простоя систем недостаточно.

По мнению специалистов Softline, компаниям необходимо выстраивать защиту с учетом возможных последствий раскрытия наиболее ценных данных. Для этого требуется контролировать права доступа, отслеживать движение конфиденциальной информации и регулярно проверять готовность к инцидентам.

Главная задача бизнеса заключается в том, чтобы обнаружить несанкционированный доступ до того, как корпоративные секреты окажутся у злоумышленников. Чем лучше компания понимает, где хранятся ценные данные и кто может с ними работать, тем больше возможностей предотвратить утечку или ограничить ее последствия.