Ransomware-as-a-Service: Hoe cloud-gebaseerde supply chains gemakkelijk getarget worden

Met de cloud de primaire manier wordend om toegang te krijgen tot een groeiend aantal software-aanbiedingen, lijkt het alsof elke applicatie migreert naar een "as-a-service" leveringsmodel deze dagen. Dus het moet geen verrassing zijn dat ransomware op de cloud-bandwagon is gesprongen.

Ontmoet ransomware-as-a-service (RaaS), een voorgepakte, makkelijk te deployen middel om datanetwerken op te sluiten en vervolgens hun eigenaren te chantagen voor betaling — meestal in de vorm van Bitcoin of andere cryptocurrency — om ze te ontgrendelen.

Als de meest populaire vormen van managed services, kan RaaS rond-de-klok tech support en gebruikersforums omvatten die gewijd zijn aan het halen van het meeste uit de applicatie. Kopers kunnen de "oplossing" op verschillende manieren verkrijgen, inclusief maandelijkse abonnement, eenmalige licentiekosten of winstdeling met de softwareprovider. Hoe het ook geleverd kan worden, RaaS heeft een gemeenschappelijk doel: digitale chaos veroorzaken en enorme winsten behalen in het proces. Het is een belangrijke reden waarom ransomware-opbrengsten vorig jaar in de VS stegen tot een geschatte $20 miljard, volgens Cybersecurity Ventures.

Volgens berichten beschikbaar op het dark web sinds rond 2016, heeft RaaS zich snel opgeblazen sinds toen als middel om ransomware te propageren. De mondiale supply chain, samengesteld uit meerdere onafhankelijke partners van alle formaten en graden van technologische sophistication, is bijzonder kwetsbaar voor aanval. Grote fabrikanten, distributeurs en detailhandelars zouden zich veilig kunnen voelen, door miljoenen uitgegeven te hebben op strakke beveiligingsmaatregelen binnen hun eigen huizen, maar de kleinste en meest onbelangrijke leverancier kan dienen als een deur naar een schat aan gevoelige data over klanten en operaties. Volgens sommige schattingen, komen twee derde van alle cyberaanvallen momenteel via de supply chain.

Mobiele apparaten, die in aantal en applicaties exploderen zijn het afgelopen decennium, zijn populaire vectoren voor infectie. "Stel je een subcontractor van een developer voor die binnenkomt om een API-gebaseerde software-extensie te bouwen voor een klant," zegt Padmini Ranganathan, globale vicepresident productstrategie bij SAP Procurement. "Hoe weet je of hun code veilig is? Of dat ze de apparaten die ze gebruiken beschermen?"

Netwerken moeten evenzeer vigilant zijn in het beschermen van ingesloten systemen binnen de cloud, zegt Ranganathan. En hoewel cloud-technologie geen automatische beveiligingsdreiging is, verhoogt het risiconiveaus met de proliferatie van apparaten gelinkt aan het internet of things. Bedrijven moeten reageren door strenge audits uit te voeren van alle apparaten en systemen die toegang hebben tot hun data, zowel extern als intern, zegt hij.

Met RaaS het makkelijker makend voor cybercriminelen om netwerken voor gijzeling te houden, zou men denken dat private bedrijven en overheidsinstanties speciale zorg zouden nemen om hun data te beschermen. De uitslag van ransomware-aanvallen in de afgelopen jaren suggereert dat dit niet het geval is. Alleen in 2021, zijn slachtoffers een oliepijpleiding, vleesverwerker, chemiedistributeur, autofabrikant, zelfs een veerdienst op Martha's Vineyard. Er lijkt geen patroon te zijn met betrekking tot het getargette entiteit — alleen dat ze allemaal kwetsbaar bleken voor een aanvalsvorm die alarmerend makkelijk te stagen is geworden.

Kleinere leveranciers — of grote, voor die materie — zouden kunnen argumenteren dat ze de middelen missen om te investeren in cybersecurity. Ranganathan stelt voor dat ze het probleem niet met de juiste mindset benaderen. Zeker, juiste beveiligingsmaatregelen kunnen duur zijn om te verkrijgen, en dienen als een tijdelijke rem op de balans. Maar wat is de kosten van herstel na een cyberaanval — met name een gijzelingsverzoek dat in de miljoenen dollars kan lopen? Of de valreep van het verliezen van klanten die woedend zijn dat hun gevoelige persoonlijke data gecompromitteerd was door nalatigheid van een detailhandelaar of dienstverlener? "We onderschatten het concept van value at risk," zegt Ranganathan.

Een belangrijk aspect van cybersecurity kost niet noodzakelijk meer. Het is bewustzijn en ijver aan de kant van werknemers over de dreiging van inbraken door een willekeurig aantal systemen en apparaten. Niets moet vertrouwd worden aan het begin; vaak kan een succesvolle aanval toegeschreven worden aan menselijke onachtzaamheid, niet aan kwetsbaarheden in de technologie.

Hackers' technieken, natuurlijk, blijven evolueren. Vandaag de dag is een ransomware-aanval waarschijnlijk een heel nieuwe vorm aan te nemen in de komende jaren. Technologie zal streven om tempo te houden met de zich constant veranderende dreiging, maar constante vigilantie aan de kant van systeemontwerpers en zelfs de meest casuele gebruikers is de sleutel.

Bedrijven moeten evenveel aandacht besteed aan systeembeveiliging als ze doen aan de meer verblindende wereld van verkoop, marketing en nieuwe productontwikkeling. Zegt Ranganathan: "We kunnen onze ogen niet van architecturale hygiëne afwenden in de naam van snelle innovatie."