公司的網絡安全優先事項應該包括增強它們的檢測和響應能力。 

黑客以IT和實體供應鏈為目標 

安聯保險集團在一份新的報告中警告稱，在經歷了兩年的高但穩定的損失活動之后，隨著網絡威脅格局的繼續演變，2023年勒索軟件攻擊正卷土重來。 

黑客越來越多地將目標對準IT和實體供應鏈，發動大規模網絡攻擊，并尋找新的方法向大大小小的公司勒索錢財。現在，大多數勒索軟件攻擊都涉及以勒索為目的竊取個人或敏感商業數據，增加了事件的成本和復雜性，并帶來了更大的聲譽損害可能性。 

安聯保險集團對大型網絡損失的分析顯示，數據被泄露的案例數量每年都在增加-從2019年的40%翻了一番，2022年達到近80%，2023年明顯更高。 

安聯保險集團網絡業務全球主管Scott Sayce表示：“隨著勒索軟件集團繼續改進其策略，網絡索賠頻率今年再次回升。根據2023年上半年的索賠活動，我們預計到年底，索賠數量每年將增加約25%。攻擊者回來了，他們再次聚焦于西方經濟體，擁有更強大的工具、改進的流程和攻擊機制。鑒于這種動態，需要一家受到良好保護的公司來抵御威脅，其中最重要的因素越來越多地是發展強大的檢測和快速反應能力。” 

2022年的網絡索賠數據表明風險管理有所改善 

根據安聯保險集團的報告，在黑客攻擊之前、期間和之后，網絡索賠的頻率在2022年穩定下來，反映出投保公司的網絡安全和風險管理行動的改善。 

針對勒索軟件團伙的執法機構，以及烏克蘭和俄羅斯的沖突，也被認為有助于遏制勒索軟件活動。然而，僅勒索軟件活動在2023年上半年就同比增長了50%。 

所謂的勒索軟件即服務(RaaS)套件，其起價低至40美元，仍然是攻擊頻率提高的關鍵驅動因素。勒索軟件團伙也在以更快的速度實施更多的攻擊，執行一次攻擊的平均天數從2019年的60天左右下降到4天。 

安聯保險集團網絡索賠業務全球主管Michael Daum表示：“雙重勒索和三重勒索事件——使用加密、數據外泄和DDoS相結合——以獲取錢財并不是什么新鮮事，但它們現在更加普遍。幾個因素結合在一起，使數據外泄對威脅參與者更具吸引力。收集個人信息的范圍和數量正在增加，隱私和數據泄露法規在全球范圍內正在收緊。與此同時，外包和遠程訪問的趨勢導致了更多的接口可供威脅行為者利用。” 

數據外泄可能會顯著增加損失或網絡索賠的成本，此類事件可能需要更長時間才能處理，而法律和IT取證可能非常昂貴。如果數據被盜，公司必須確切知道哪些數據被泄露，并可能不得不通知客戶，客戶可能會尋求賠償或威脅提起訴訟。 

今年還發生了幾起大規模勒索軟件攻擊，威脅參與者利用軟件中的漏洞和IT供應鏈中的弱點來攻擊多家公司。例如，MOVEit大規模網絡攻擊利用了一種數據傳輸軟件產品，影響了數百萬個人和數千家公司，導致2023年迄今索賠頻率上升，同時影響到多個投保人。 

Daum說：“未來可能會發生更多大規模網絡攻擊。”公司及其保險公司需要更好地了解企業之間和數字供應鏈內存在的互聯互通和依賴關系。 

越來越多的網絡攻擊事件 

在過去，成為公眾所知的網絡事件的數量很少。今天，情況不同了，因為數據外泄，黑客威脅要在網上公布被盜數據。安聯保險集團對大型網絡損失的分析顯示，數據被泄露的事件公之于眾的比例從2019年的60%左右增加到2022年的85%，2023年將更高。 

安聯保險集團咨詢公司網絡風險咨詢全球主管Rishi Baviskar表示：“如今，如果數據外泄，它很可能會被在網絡上公開，每家公司都需要為此做好準備。” 

由于可能造成代價高昂的財務和聲譽后果，企業可能會感受到更大的壓力，要求它們在數據被盜的情況下支付贖金。支付贖金的公司數量同比增加-從2019年的僅10%增加到2022年的54%。如果數據被泄露，公司支付贖金的可能性是加密的2.5倍。 

然而，為被泄露的數據支付贖金并不一定能解決問題，該公司仍可能因數據泄露而面臨第三方訴訟，尤其是在美國。事實上，在很少情況下，一家公司應該相信，除了支付贖金之外，沒有其他解決方案，以便能夠重新訪問其系統或數據，受影響的任何一方應始終通知當局并與當局合作。 

保護企業免受入侵仍然是一場貓捉老鼠的游戲，在這場游戲中，網絡犯罪分子占據了優勢。安聯保險集團對過去五年3000多起網絡索賠進行的分析顯示，在所有事件中，80%以上是外部操縱系統的原因。 

威脅參與者利用AI，以實現更快、自動化的攻擊 

威脅參與者現在正在探索使用AI來自動化和加速攻擊的方法，創建更有效的AI支持的惡意軟件、網絡釣魚和語音模擬。再加上聯網移動設備的爆炸性增長——因網絡安全措施不力而引發的事件越來越多——攻擊途徑看起來只會增加。 

因此，防止網絡攻擊變得更加困難，風險也更大。因此，及早發現和應對的能力和工具變得越來越重要，大約90%的事件是在早期得到控制的。然而，如果不在早期階段阻止攻擊，防止它成為更嚴重和代價更高的事情的可能性大大降低。 

Baviskar說：“傳統的網絡安全側重于預防，目的是阻止攻擊者進入網絡。”雖然在預防方面的投資減少了成功的網絡攻擊數量，但總會有一個‘缺口’，使攻擊能夠通過，例如，不可能阻止所有員工點擊日益復雜的釣魚郵件。 

企業應該將額外的網絡安全支出引導到檢測和響應上，而不僅僅是在保護和預防上增加更多的層次。只有三分之一的公司通過自己的安全團隊發現數據泄露，然而，早期檢測技術是現成的和有效的。 

檢測系統正在不斷改進，可以節省大量痛苦，縮短檢測和反應時間，這是我們在網絡風險評估和承保中尋找的東西。 

報告強調，沒有及早發現和遏制的網絡入侵的代價可能是早期發現和遏制的1000倍，安聯保險集團的分析表明，及早發現和應對可以阻止2萬歐元的損失變成2000萬歐元的損失。 

Daum說：“預防決定了攻擊的頻率，而響應決定了損失的重大程度——無論是輕微的IT事件還是企業危機。我們相信，公司可以做有意義的準備，在應對這些攻擊者威脅的方式上還有改進的空間。歸根結底，早期發現和反應能力將是減輕網絡攻擊影響和確保未來可持續網絡保險市場的關鍵。”