ما تُظهره بيانات دفع الفدية الجديدة

يُقدّم تقرير جديد من شركة الأمن بروفبوينت، نُشر يوم الأربعاء، تأكيدًا مزعجًا لكل من فكّر يومًا في دفع فدية لعصابة برامج فدية لإنهاء المشكلة: نسبة كبيرة من الضحايا الذين يدفعون ينتهي بهم المطاف بمواجهة طلب ابتزاز ثانٍ. يُعزّز التقرير ما دافع عنه باحثو الأمن وخبراء الاستجابة للحوادث لسنوات، وهو أن مفاوضات برامج الفدية لا تُجرى بحسن نية، وأن الدفع لا يضمن أن يتراجع المهاجم بالفعل.

تُضيف بيانات بروفبوينت أرقامًا قوية لنمط لطالما اشتبه به المدافعون قصصيًا. فالمنظمات التي تمتثل لطلب الفدية لا تشتري طيًا للصفحة، بل غالبًا ما تشتري جولة ثانية من الضغط من المهاجم نفسه، أو من مجموعة مختلفة بالكامل، لتعود وتطلب المزيد.

لماذا يفتح دفع الفدية الباب لهجوم ثانٍ

المنطق وراء الابتزاز المتكرر بسيط بمجرد التفكير فيه من وجهة نظر المهاجم. يعتمد نموذج عمل عصابة برامج الفدية بأكمله على اعتقاد الضحايا بأن الدفع يُنهي الأزمة. لكن لا يوجد عقد قانوني، ولا آلية إنفاذ، ولا مخاطر على السمعة قوية بما يكفي لضمان كلمة المهاجم بمجرد انتقال الأموال. إذا أثبت الضحية مسبقًا استعداده وقدرته على الدفع، يصبح هدفًا أكثر جاذبية، لا حسابًا مُصفّى.

وهذا جزء من سبب وصف باحثي الأمن لمفاوضات برامج الفدية بأنها تختلف جوهريًا عن الصفقة التجارية العادية. فلا يوجد حافز للطرف الآخر للانسحاب فعلًا. لدى المجموعة الإجرامية التي نجحت في ابتزاز دفعة مرة واحدة كل الأسباب لتختبر ما إذا كانت المنظمة نفسها ستدفع مرة أخرى، سواء بإعادة تشفير الأنظمة، أو التهديد بتسريب البيانات المسروقة سابقًا مرة ثانية، أو ببساطة إعادة فتح طلب جديد مرتبط بالاختراق الأصلي.

ترتبط هذه الديناميكية ارتباطًا وثيقًا بما يسميه القطاع الابتزاز المزدوج أو الابتزاز المتعدد، حيث لا يكتفي المهاجمون بتشفير الملفات بل يسرقون البيانات مسبقًا، مما يمنحهم نقاط ضغط متعددة للضغط على الضحية حتى بعد دفع الفدية. تُشير نتائج بروفبوينت إلى أنه حتى بعد نجاح حملة الضغط الأولية تلك، لا يجف البئر بالضرورة.

كيف تُسهّل الاختراقات غير المكتشفة إعادة الابتزاز

أحد أسباب نجاح الابتزاز المتكرر للمهاجمين هو أن العديد من الضحايا لا يفهمون النطاق الكامل للاختراق في الوقت الذي يقررون فيه الدفع. إذا اكتشفت منظمة ملفات مشفرة وتفاوضت على فدية دون أن تُحدد أولاً بالضبط ما هي البيانات التي تم الوصول إليها، أو نسخها، أو تُركت كباب خلفي، فإنها تكون قد وافقت فعليًا على ثمن دون معرفة ما الذي تشتريه بالفعل.

هذه الفجوة بين الاكتشاف والاستجابة موضوع متكرر في أبحاث برامج الفدية. كما ورد في تقرير ذي صلة حول إخفاقات اكتشاف برامج الفدية، يفقد ما يقرب من نصف ضحايا برامج الفدية بياناتهم قبل أن يدركوا حتى أن الهجوم جارٍ. هذا التأخير مهم للغاية هنا: إذا لم يعلم الضحية أن المهاجم سرّب بيانات قبل أسابيع من نشر برنامج الفدية، فإن الدفع لفك تشفير الملفات لا يفعل شيئًا لمعالجة المعلومات المسروقة الموجودة على خادم إجرامي، والتي يمكن تحقيق الدخل منها مرة أخرى عبر طلب ثانٍ، أو بيعها بشكل منفصل، أو استخدامها لتهديد جديد بالتسريب لاحقًا.

خطوات دفاعية: النسخ الاحتياطي والمراقبة وتخطيط الاستجابة للحوادث

الخلاصة العملية من تقرير بروفبوينت ليست أن دفع الفدية لا ينبغي أن يحدث أبدًا تحت أي ظرف من الظروف، بل إن الدفع لا ينبغي أبدًا أن يُعامل كحل مضمون. المنظمات، والأفراد الذين يديرون شبكات أو شركات أصغر، يُخدمون بشكل أفضل بالاستثمار المبكر في الوقاية والاكتشاف بدلاً من الاستثمار اللاحق في التفاوض.

وهذا يعني الاحتفاظ بنُسخ احتياطية منتظمة ومُختبرة وغير متصلة بالإنترنت بحيث يمكن استعادة الملفات المشفرة دون الدفع لأحد. ويعني الاستثمار في أدوات مراقبة قادرة على رصد الوصول غير المصرح به للبيانات قبل أن يتاح للمهاجمين وقت لتسريب كميات كبيرة من المعلومات الحساسة. ويعني وجود خطة للاستجابة للحوادث قبل وقوع الهجوم، خطة تشمل تحقيقًا جنائيًا لتحديد ما تم الوصول إليه بالضبط، وليس فقط ما إذا كانت الملفات قد شُفّرت.

ما يعنيه هذا بالنسبة لك

بالنسبة لأصحاب الأعمال الصغيرة والأفراد، فإن الرسالة من هذا البحث واضحة: لا تفترض أن دفع الفدية هو الحل السريع والنظيف الذي يبدو عليه في اللحظة. المهاجمون الذين أثبتوا مسبقًا استعدادهم لابتزازك مرة واحدة لديهم الوسيلة والدافع لفعل ذلك مجددًا. الدفاع الحقيقي ضد هجمات الابتزاز المتكررة ببرامج الفدية ليس استراتيجية تفاوض أفضل، بل تقليل احتمالات أن تكون في هذا الموقف من البداية من خلال نسخ احتياطية قوية، واكتشاف أسرع، وخطة استجابة واضحة.

خلاصات قابلة للتنفيذ

  • عامل دفع الفدية كملاذ أخير، لا كحل مضمون، حيث تُظهر بيانات بروفبوينت أن المهاجمين يعودون غالبًا بمطالب جديدة.
  • أعطِ الأولوية للنسخ الاحتياطية غير المتصلة بالإنترنت والمُختبرة بحيث لا يُجبرك التشفير وحده على قرار الدفع.
  • استثمر في أدوات اكتشاف تلتقط تسريب البيانات مبكرًا، لأن التأخر في الاكتشاف يمنح المهاجمين نفوذًا أكبر للابتزاز المتكرر.
  • ابنِ خطة للاستجابة للحوادث قبل وقوع الهجوم، تتضمن خطوات تحقيق جنائي لتحديد النطاق الكامل لأي اختراق.
  • افترض أن أي بيانات سُرقت قبل دفع الفدية تظل خطرًا مستقبليًا، بغض النظر عن وعود المهاجمين.