Výkupné za DDoS: co dělat s vyděračským e-mailem

Co je vyděračský DDoS útok

Vyděračský DDoS útok — RDoS, též DDoS vydírání — obrací obvyklé pořadí událostí. Útočník neshodí web a nečeká, až si toho všimnete; nejdřív pošle e-mail: převeďte do stanovené lhůty částku v kryptoměně, jinak záplava začne. Někteří odesílatelé naplánují krátkou dávku provozu jako důkaz, že na to mají. Mnozí nepřipojí nic než hrozbu.

Model funguje, protože ekonomika je absurdně nevyvážená. Rozeslat deset tisíc výhrůžných e-mailů nestojí nic. Pronájem kapacity, která položí jeden nechráněný web, stojí pár dolarů za hodinu. Když zaplatí jeden příjemce z tisíce, kampaň je zisková — ať už odejde jediný paket, nebo ne.

To stojí za to si uvědomit, ještě než si zprávu přečtete znovu: skoro jistě si nevybrali právě vás. Jste na seznamu.

Anatomie vyděračského dopisu

Vyděračské dopisy jsou napříč kampaněmi nápadně podobné, protože se navzájem opisují. Struktura bývá téměř vždy stejná.

Blaf, nebo věrohodná hrozba

Ověřit lze v e-mailu jen dvě věci — jestli ohlášený ukázkový útok skutečně přijde a jestli udělá to, co odesílatel tvrdil. Všechno ostatní je text, který napíše kdokoli.

Znaky hromadného blafu:

• Přišel na obecnou schránku (info@, contact@, abuse@) nebo na adresu vytaženou z WHOIS.
• Žádný ukázkový útok nebyl ohlášen — nebo byl a okno proběhlo, aniž se v grafech cokoli hnulo.
• Zpráva nikde nejmenuje vaši firmu, doménu ani nic konkrétního o vaší aplikaci.
• Táž adresa peněženky se objevuje ve veřejných hlášeních nesouvisejících příjemců.
• Uvedená skupina už neexistuje, nebo DDoS nikdy nedělala.

Znaky, které je třeba brát vážně:

• Měřitelná anomálie provozu přesně v ohlášený čas, viditelná ve vašich vlastních lozích.
• Požadavek odkazuje na skutečná specifika: hostname, cestu v API, nedávné spuštění.
• Ukázkový provoz mířil na něco drahého — objednávku, přihlášení, vyhledávání — a ne na homepage. To je otisk cílení na aplikační vrstvu a znamená, že se někdo na váš web skutečně díval.
• Vaše IP adresa originu je veřejně dohledatelná, takže se útočník filtrem vůbec nemusí zabývat.

Berte „blaf" jako pravděpodobnost, nikdy jako verdikt. Rozlišení má mnohem menší význam, než by se zdálo, protože reakce je v obou případech stejná — a je to táž reakce, která vás ochrání před mnohem častějším útokem, jenž přijde bez jakéhokoli varovného e-mailu.

Proč se platit nevyplácí

Tohle není morální argument, ale provozní.

1. Nic vám nedodají. Nekupujete dešifrovací klíč jako u ransomwaru — není co předat. Kupujete slib anonymní strany, že se něco nestane.
2. Stanete se opakovaným cílem. Platba dokazuje, že doména vydělává. Seznamy obětí, které zaplatily, kolují a následné požadavky od stejných i jiných aktérů jsou dobře zdokumentovaný jev.
3. Financujete další kampaň. Peníze koupí kapacitu botnetu, která zamíří na dalšího příjemce v pořadí.
4. Můžete si vytvořit právní problém. Platby sankcionovaným subjektům mají v EU, Británii i USA reálné důsledky a vy nevíte, kdo za peněženkou stojí. Veřejná doporučení CISA i britského NCSC se shodují: neplaťte.

Všimněte si také, jak je částka nastavená. Bývá záměrně nižší, než by vás pravděpodobně stál den výpadku, aby platba na tabulce vypadala jako racionální volba. To číslo je prodejní taktika a o skutečných schopnostech odesílatele nevypovídá nic.

Co stihnout do vypršení lhůty

Lhůta není odpočet k panice. Je to plán práce s termínem a každá položka na něm má smysl sama o sobě.

1. Postavte před origin trvale zapnutou filtraci. Jediná nejcennější akce s nejkratší dobou nasazení. Edge mitigace, kterou už váš provoz prochází, nemá aktivační okno, jehož by útočník využil — proč always-on poráží on-demand, rozebírá článek co je DDoS mitigace. DDoS ochrana Itnetic se spouští změnou dvou DNS záznamů, typicky do pěti minut, a díky bezplatnému tarifu Starter dnes nemusíte čekat na schválení rozpočtu.

2. Zavřete origin. Filtrace na edge je k ničemu, pokud skutečná IP adresa vašeho serveru dál odpovídá přímo z internetu — útočníci si to ověřují jako první. Nastavte firewall tak, aby origin přijímal spojení jen z vaší mitigační sítě, a projděte kontrolní seznam úniků v článku jak skrýt IP adresu originu. Udělejte to zároveň s krokem 1; jde o jednu změnu, ne o dvě.

3. Agresivně cachujte. Každý zásah cache na edge je požadavek, který váš origin nikdy neuvidí. Zvyšte TTL u statických dat a cachujte HTML pro nepřihlášené návštěvníky všude, kde to aplikace dovolí — tím se velká část jakékoli záplavy promění v provoz, který k vám vůbec nedorazí.

4. Omezte rychlost na drahých endpointech. Přihlášení, vyhledávání, objednávka, obnova hesla a každá cesta v API, která sahá do databáze. Přesně na ty útok na aplikační vrstvě míří — pár tisíc požadavků za sekundu je tam levnější odeslat než obsloužit.

5. Ověřte, že uvidíte, co se děje. Zapněte upozornění na útok a ujistěte se, že máte data o jednotlivých požadavcích dřív, než je budete potřebovat — status, cesta, otisk klienta, verdikt. Uprostřed incidentu je špatná chvíle zjišťovat, že vaše logy jsou vzorkované. Na to jsou logy požadavků a analytika.

6. Uchovejte důkazy a připravte lidi. Nechte původní e-mail včetně kompletních hlaviček beze změny, uložte snímky grafů z ukázkového útoku a poznamenejte časy v UTC. Domluvte s podporou, co má říkat, a dopředu určete, kdo rozhodne o zveřejnění statusu. Odesílateli neodpovídejte a nevyjednávejte — samotná reakce je signál, že adresa žije a příjemce se bojí.

Když útok skutečně začne

Řešte incident, ne e-mail. Postup krok za krokem — jak potvrdit, že jde o útok a ne o špičku provozu, jak najít cílený endpoint, jak přitvrdit filtraci a jak přitom komunikovat — najdete v článku jak zastavit DDoS útok.

Jeden dodatek platí pro vydírání zvlášť: držte vyděračský dopis mimo kanál, kde pracují lidé řešící incident. Termíny vytvářejí tlak na rychlá špatná rozhodnutí a technická práce se tím, že běží hodiny, nijak nemění.

Nahlaste to

Nahlášení vás nestojí prakticky nic a má reálný smysl, protože adresy peněženek a šablony dopisů se dají porovnat napříč oběťmi — právě tak se z hromadné kampaně stane rozpoznaná hromadná kampaň. V Česku se obraťte na Policii ČR, v rámci EU lze využít i Europol. Přiložte kompletní hlavičky e-mailu, adresu peněženky a důkazy o provozu.

Být obětí DDoS útoku samo o sobě žádnou odpovědnost nenese. Vedení útoku je trestný čin — v EU podle směrnice 2013/40/EU, v ČR podle trestního zákoníku.

Kde do toho zapadá Itnetic

Nepříjemná pravda o vyděračských e-mailech je, že jde o problém s termínem, ne o bezpečnostní problém. Obrana, kterou potřebujete, je ta, kterou jste už dávno měli mít — a pokud ji nemáte, máte na ni hodiny.

Přesně na tenhle případ je Itnetic postavený. Ochrana se zapíná změnou dvou DNS záznamů, takže odpadá výběrové řízení, hardware i instalace agenta; většina zákazníků filtruje provoz do pěti minut. Mitigace běží trvale na každém edge PoPu a neaktivuje se až po překročení prahu, takže neexistuje okno přesměrování, na které by útočník mohl načasovat útok. Skuteční návštěvníci projdou bez CAPTCHA, každý zablokovaný požadavek se loguje pro pozdější vyhodnocení a útočný provoz se nikdy nepočítá do limitu přenosu — z útoku nemá vzniknout faktura. Tarif Starter je zdarma, což se hodí, když je termín zítra a schválení rozpočtu není.

Pokud je e-mail blaf, zavřeli jste zadarmo skutečnou díru. Pokud není, zavřeli jste ji včas.