5 motive pentru care ransomware-ul nu poate fi oprit ușor

Atacurile ransomware sunt mai multe ca niciodată, iar instituțiile publice și firmele private știu că a deveni următoarea țintă nu mai e o chestiune de „dacă”, ci de „când”.

Cum s-a ajuns aici? Timp de douăzeci de ani, companiile au cumpărat protecție antivirus și, cu toate acestea, au pierdut jocul. Am scris acest articol în septembrie 2021, în plin val de atacuri, iar cele cinci motive de mai jos explică de ce ransomware-ul nu a dispărut nici în 2026. Exemplele sunt din 2020–2021; la final găsiți cifrele recente și măsurile care contează acum.

1. „Ferestrele” sparte nu pot fi reparate

Microsoft Windows și programele asociate sunt pline de vulnerabilități. Doar în cele trei luni dinaintea publicării acestui articol, în vara lui 2021, Microsoft a corectat peste 200 de erori, dintre care 27 critice, iar majoritatea celorlalte importante ca gravitate. Cel puțin șase dintre ele fuseseră atacate activ înainte să apară un patch.

În martie 2021, patru vulnerabilități de tip „zero day” din Microsoft Exchange au dus la breșe în mii de organizații. Unul dintre aceste bug-uri exista în Exchange încă din 2013, iar celelalte datau din 2016 și 2019. Am explicat atunci ce trebuie să faceți dacă serverul Exchange a fost compromis.

Vulnerabilitatea PrintNightmare, descoperită în vara lui 2021 în serviciul Windows Print Spooler, permitea executarea de cod de la distanță și a fost inclusă rapid în instrumente de hacking populare precum Mimikatz și Metasploit. Chiar și după prima corecție, cercetătorii au găsit repede o metodă de a o ocoli complet. Vulnerabilități asemănătoare, precum FaxHell, Print Demon și Evil Printer, fuseseră descoperite în 2020, iar atacatorii au continuat să caute sisteme expuse la astfel de breșe.

Unele erori rămân ascunse ani de zile, chiar și zeci de ani. CVE-2021-24092 este o vulnerabilitate de escaladare a privilegiilor în Windows Defender, softul de securitate al Microsoft care ar trebui să-i țină la distanță pe atacatori. Bug-ul a rămas exploatabil timp de 12 ani.

Servicii IT pentru firme: vreau detalii →

E tentant să credem că e doar o chestiune de timp până când toate aceste erori vor fi găsite și remediate, dar, din păcate, lucrurile nu stau așa. Erorile noi apar odată cu codul nou, iar Microsoft, ca orice alt producător, trebuie să creeze funcții noi – și să scrie cod nou – ca să rămână atractiv pentru firme. Vulnerabilitatea locală de escaladare a privilegiilor HiveNightmare (sau SeriousSAM), descoperită în iulie 2021, fusese introdusă în Windows 10 odată cu versiunea 1809. Ea permitea oricărui utilizator standard să obțină privilegii complete de SYSTEM, cu toate consecințele pe care le presupune pentru echipele de securitate.

Deși HiveNightmare cere ca atacatorul să aibă deja un punct de sprijin în sistem, combinarea ei cu alte defecte, precum PrintNightmare, îi poate oferi atât accesul, cât și permisiuni complete.

Nici în 2026 lucrurile nu s-au schimbat: Microsoft corectează în fiecare lună zeci de vulnerabilități, iar unele sunt exploatate înainte să apară corecția. Calculatoarele cu Windows 10, care nu mai primesc actualizări gratuite din 14 octombrie 2025, rămân expuse la toate erorile descoperite de atunci (vedeți problema tehnologiilor end of life).

2. Atacurile sofisticate înving securitatea simplă, de fiecare dată

Lăsând la o parte bug-urile, protecția de bază inclusă în Windows nu ajunge, singură, ca să oprească atacurile sofisticate. Potrivit NETRESEC, atacul Sunburst/SolarWinds, descoperit în decembrie 2020, nu a fost oprit de Windows Defender, iar malware-ul a ocolit și produsele de securitate ale altor furnizori, care nu au oferit vizibilitatea necesară pentru detectarea atacului.

Desigur, atacurile sofisticate sunt gândite tocmai ca să învingă controalele de securitate simple, iar vremurile în care orice protecție era suficientă pentru o firmă au trecut de mult.

Criminalitatea financiară online de azi se bazează pe efectul de pârghie. Atacatorii vor datele dumneavoastră – fie ca să le vândă, fie ca să vă ceară răscumpărare, fie pentru ambele – și au mijloacele să cumpere, să dezvolte și să fure instrumentele de care au nevoie. De când grupul Shadow Brokers a făcut publice, în 2017, instrumentele de hacking ale NSA – inclusiv EternalBlue, folosit în atacurile WannaCry și NotPetya –, bandele de infractori au avut la dispoziție nu doar acele instrumente, ci și cunoștințele despre cum se construiesc astfel de instrumente.

Mai mult, pe Dark Web există un întreg ecosistem prin care și atacatorii mai puțin pricepuți au acces la instrumente puternice, dezvoltate de alții. Modelul Ransomware as a Service (ransomware ca serviciu) înseamnă că dezvoltatorii de programe malware sofisticate le pot vinde unui număr mare de clienți, fiecare plătind un preț relativ mic. E un model economic simplu, pe care atacatorii l-au înțeles și l-au exploatat din plin.

Ransomware as a service (RaaS) – ce este și cum funcționează

Cu afiliații de ransomware la coadă ca să pătrundă în firme, cu instrumente puternice care înving controalele simple, securitatea nu se mai poate baza doar pe oameni care să facă munca grea. Atacurile sofisticate cer instrumente sofisticate, care pot reacționa singure, cu viteza mașinii. Cât timp multe organizații nu au învățat încă această lecție, vom continua să vedem atacuri ransomware de amploare, atât asupra instituțiilor publice, cât și asupra firmelor private.

3. Recompensele sunt mai mari decât riscurile

Software-ul cu erori și controalele de securitate slabe, combinate cu riscuri mici și câștiguri mari, fac din ransomware o afacere atractivă pentru infractori. Pe vremuri, infractorii cibernetici nu realizau ce sume îi așteaptă dacă atacă firme și instituții și se concentrau pe persoane fizice, cărora le cereau automat câte 300 de dolari. În 2010, un comentator din domeniul securității cibernetice observa că „Răscumpărarea pe internet poate că nu aduce mulți bani per incident, dar extorzioniștii răbdători pot arunca o plasă largă și pot trage în plasă multe victime nevinovate care nu au altă cale de atac decât să plătească”.

Cât de mult s-au schimbat lucrurile de atunci! Azi, atacatorii câștigă mult mai mult prin dubla extorcare: pe de o parte criptează fișierele, pe de altă parte fură datele și amenință victimele că le publică. E un joc al numerelor. În iulie 2021, operatorii ransomware-ului REvil au exploatat o vulnerabilitate din software-ul Kaseya VSA, folosit de furnizorii de servicii IT, și au cerut 70 de milioane de dolari pentru o cheie universală de decriptare. Pentru 2020, plățile de răscumpărare erau estimate atunci la aproximativ 350 de milioane de dolari în criptomonede.

Potrivit Chainalysis, în 2025 victimele au plătit în total aproximativ 820 de milioane de dolari, iar numărul victimelor anunțate de atacatori a crescut cu circa 50% față de 2024. Tot mai puține victime plătesc, dar atacurile nu se opresc.

Care e rezultatul? Nu trebuie să ne îngrijorăm doar de atacatorii susținuți de state, ci și de bandele criminale tolerate de unele state. Iar pentru o firmă obișnuită, din Europa sau de oriunde, acestea din urmă sunt un pericol mult mai real și mai apropiat.

4. Criptomoneda facilitează plățile pentru atacurile ransomware

Criptomonedele sunt în plină expansiune. În timp ce scepticii vorbesc despre riscurile unei „bule a criptomonedelor”, infractorii le folosesc bucuroși pentru anonimat, pentru transferul ușor al banilor și – pe măsură ce prețurile cresc – ca pe o cale rapidă spre bogăție.

Înainte de pandemie, un bitcoin se tranzacționa la puțin peste 7.000 de dolari, dar când economia s-a oprit în toată lumea, prețul a explodat. În decembrie 2020 ajunsese la 24.000 de dolari, în aprilie 2021 a atins un vârf de 64.000 de dolari, iar în septembrie 2021, când am scris articolul, era în jur de 46.000 de dolari. De atunci prețul a trecut prin scăderi mari, dar în decembrie 2024 a depășit pentru prima dată 100.000 de dolari. Pentru infractorii care șantajează firme, fiecare creștere a prețului e încă un stimulent să continue atacurile.

Desigur, nu doar prețurile în creștere fac criptomonedele atractive pentru infractori. Ele oferă oricui e implicat într-o infracțiune o cale ușoară de a fi plătit, mult mai anonimă decât un cont bancar, pentru că tehnologia blockchain înregistrează proprietatea prin hash-uri ale cheilor publice, nu prin numele persoanelor.

Deși există o întreagă industrie care încearcă să urmărească plățile făcute către infractori, aceștia inventează mereu metode noi de a ascunde „cashing out”-ul, adică transformarea criptomonedelor în bani. Unele metode sunt tehnologice, altele sunt metoda veche și verificată a spălării banilor prin conturile unor firme-fantomă. Există bande de infractori financiari care își oferă serviciile infractorilor cibernetici tocmai în acest scop? Sigur că există.

Managed cloud: vreau detalii →

5. Atacurile ransomware se petrec pe dispozitive, nu în cloud

Dacă antivirusul tradițional nu s-a schimbat prea mult, infrastructura de rețea s-a schimbat cu siguranță. Cloud-ul – on-premise, hibrid, IaaS, PaaS, aplicațiile în containere și multe altele – a schimbat mediile de lucru dincolo de recunoaștere de când au fost gândite primele antivirusuri. Ca răspuns, furnizorii de securitate, vechi și noi, au început să folosească și ei cloud-ul pentru apărare. Ce-ar fi dacă ați putea trimite toată telemetria dispozitivelor (fizice sau virtuale) către cloud-ul unui furnizor, ca să fie analizată acolo? Avantajul, se spune, e puterea de calcul în plus pe care o aduce cloud-ul.

E corect să folosim tehnologia acolo unde ne ajută sau ne completează apărarea de bază, dar cheia securității dispozitivelor (endpoint) nu poate sta pe un server sau la un analist aflat la distanță. Când un hoț intră în casa dumneavoastră, ultimul lucru pe care îl doriți e să așteptați ca un polițist de la distanță să decidă dacă hoțul ar trebui sau nu să fie acolo. Până atunci, hoțul poate să fi plecat deja cu bunurile dumneavoastră, după ce a făcut cine știe ce pagube.

La fel stau lucrurile și cu securitatea dispozitivelor. Fie că protejați stațiile de lucru Windows sau Linux ale angajaților, laptopurile macOS sau dispozitivele personale, echipamentele IoT din birou sau serverele firmei – la sediu sau în cloud –, în centrul soluției de securitate trebuie să stea un agent autonom, instalat pe fiecare dispozitiv, care să răspundă cu viteza mașinii la o amenințare.

Viteza de criptare e un motiv de mândrie pentru dezvoltatorii de ransomware: fiecare serviciu nou pretinde că criptează și fură datele mai repede decât concurența. Câtă vreme dispozitivul nu poate reacționa singur, automat și aproape instantaneu, problema ransomware-ului nu va dispărea. Când furnizorii vorbesc despre remediere după 60 de secunde sau după o oră, vorbesc despre un joc deja încheiat. Nu există remediere atunci când te bazezi pe munca oamenilor ca să învingi atacuri care se desfășoară cu viteza mașinii.

Nu disperați, răspunsul este tot în tehnologie

Există totuși speranță. Tot mai mulți oameni înțeleg cum se câștigă acest război și că timpul – sau, mai exact, viteza – e esențial. Prea mult timp, atacatorii au avut de partea lor elementul surpriză și au învins ușor apărările care se bazează fie pe faptul că au mai văzut un atac, fie pe un analist care să dea un verdict.

În timp ce infractorii cibernetici folosesc tehnologii moderne, multe firme se bazează încă doar pe antivirusuri clasice, care recunosc programele periculoase după semnături, adică doar amenințările deja cunoscute.

În ciuda acestor controale de securitate, se estima că în 2019 au avut loc 9,9 miliarde de atacuri malware, față de 8,2 miliarde în 2015. Pentru infractori e un succes uriaș; pentru furnizorii tradiționali de securitate cibernetică, o dovadă clară de eșec.

Cum vă protejați firma de ransomware în 2026?

Ransomware-ul nu poate fi oprit ușor, dar riscul scade mult cu câteva măsuri de bază, aplicate pe toate calculatoarele și serverele, nu doar pe cele „importante”:

Actualizări rapide pentru sistemele de operare, aplicații și echipamentele de rețea (firewall, VPN). Calculatoarele care nu mai primesc actualizări se înlocuiesc sau se izolează.
Autentificare în doi pași (MFA) pentru e-mail, VPN, accesul de la distanță și conturile de administrator.
Protecție de tip EDR, care recunoaște comportamentul suspect și oprește automat procesele periculoase, nu doar un antivirus bazat pe semnături.
Backup după politica 3-2-1, cu cel puțin o copie offline sau imuabilă (care nu poate fi modificată sau ștearsă) și cu restaurări testate periodic. Vedeți și Backup as a Service.
Drepturi minime: angajații nu lucrează cu conturi de administrator, iar accesele celor care pleacă din firmă se închid imediat.
Angajați atenți: cele mai multe atacuri încep cu un e-mail. Vedeți cum nu cădeți pradă atacurilor de tip phishing.
Un plan de răspuns la incidente: cine face ce, pe cine anunțați și de unde restaurați datele.

Pentru firmele care intră sub incidența NIS2 (în România, OUG 155/2024), aceste măsuri sunt obligatorii, iar incidentele semnificative se raportează la DNSC: o primă avertizare în 24 de ore și o notificare în 72 de ore.

RezolvIT este o firmă de Externalizare IT obișnuită să securizeze și să protejeze infrastructura clienților: laptopuri, calculatoare, servere și dispozitive mobile. Vedeți și Securitate IT sau cereți un Audit IT gratuit, ca să aflați cât de expusă e firma dumneavoastră.