Компаниите продължават да плащат откупи, показват нови данни

Въпреки години на напътствия, призоваващи организациите да отказват искания за откуп при рансъмуер, много компании все още плащат на киберпрестъпниците. Ново проучване на компанията за сигурност Proofpoint установи, че почти една четвърт (22%) от компаниите, платили откуп, са били поразени отново с второ искане за изнудване – цифра, която повдига сериозни въпроси дали плащането изобщо решава нещо.

Проучването идва в момент, когато властите настояват повече от всякога организациите да устояват на атакуващите. Националният център за киберсигурност на Обединеното кралство (NCSC) отдавна съветва да не се плащат откупи, предупреждавайки, че това насърчава следващи атаки и не гарантира, че откраднатите или криптирани данни действително ще бъдат върнати. И все пак резултатите от Proofpoint показват, че официалните съвети и реалните бизнес решения често са две доста различни неща.

Защо бизнесът все пак плаща

Атаките с рансъмуер поставят компаниите в незавидна позиция. Когато системите са заключени или чувствителни данни са заплашени от публично разкриване, ръководителите често са принудени да претеглят репутационните щети, регулаторните рискове и прекъсването на операциите спрямо цената на откупа. За много организации плащането може да изглежда като най-бързия път към нормалното, дори когато експертите по сигурност предупреждават, че рядко се получава толкова гладко.

Тази сметка става още по-трудна, предвид как самият бизнес с рансъмуер се е професионализирал. Преговорите са се превърнали в нещо като занаятчийска индустрия, като се наемат фирми специално за комуникация с нападателите и опити за намаляване на исканията. Но тази индустрия не е лишена от противоречия. В един забележителен случай професионален преговарящ беше осъден на 70 месеца затвор за ролята му в сделка с BlackCat рансъмуер – ярко напомняне, че хората, които посредничат при тези плащания, не винаги действат в най-добрия интерес на компанията. Свързан случай със същия преговарящ, идентифициран като Мартино в съдебни документи, допълнително подчертава колко мътна и правно рискована може да стане екосистемата за плащане на откуп, след като се включи посредник.

Цената за поверителността при плащането

Статистиката за 22% повторно изнудване е значима, защото противоречи на основното оправдание, което повечето компании дават за плащането: че то кара проблема да изчезне. Ако почти една четвърт от жертвите са атакувани отново след плащане, плащането не купува безопасност. То може просто да потвърди на нападателите, че организацията желае и може да плати, което я прави по-привлекателна цел за бъдещи атаки.

Има и аспект на поверителността, който често се пренебрегва в тези дискусии. Атаките с рансъмуер често включват кражба на чувствителни данни, клиентски записи, информация за служители, финансови детайли, доста преди да настъпи каквото и да е криптиране. Плащането на откуп не премахва това излагане. Нападателите може вече да са копирали данните, а плащането не предлага проверима гаранция, че те ще бъдат изтрити, а не продадени или изтекли по-късно. За хората, чиито данни се намират в системите на пробитата компания, преговорите за откуп, които се водят при закрити врати, нямат особено значение за това дали информацията им ще остане лична.

Какво означава това за вас

Ако сте потребител, тези данни напомнят, че решението на компанията да плати откуп не защитава непременно вашата лична информация. Известия за пробив и предложения за кредитно наблюдение след инцидент с рансъмуер си струва да бъдат взети насериозно, независимо дали засегнатата компания твърди, че е разрешила ситуацията с нападателите.

Ако работите в ИТ, сигурността или ръководството на компанията, резултатите от Proofpoint трябва да бъдат пряко включени в планирането на реакция при инциденти. Плащането никога не трябва да се третира като бързо решение. Организациите, които са платили веднъж, изглежда остават привлекателни цели, което означава, че плановете за възстановяване трябва да включват по-силно укрепване след инцидента, а не само банков превод и въздишка на облекчение.

Практически изводи

Няколко практически стъпки могат да помогнат за намаляване както на вероятността от атака, така и на последиците, ако такава настъпи:

  • Поддържайте офлайн, тествани архиви, така че исканията за криптиране да загубят лоста си.
  • Третирайте всеки инцидент с рансъмуер по подразбиране като пробив на данни, тъй като нападателите често извличат данни преди да ги криптират.
  • Консултирайте се с правоприлагащите органи и агенции като NCSC навреме, вместо да прибягвате директно към плащане или преговори.
  • Ако участва преговарящ, проверете го внимателно предвид правните рискове, подчертани от последните съдебни преследвания.
  • Общувайте прозрачно със засегнатите клиенти или служители, независимо дали е платен откуп.

Рансъмуерът не изчезва и изкушението да се плати за бързо разрешение ще остане силно. Но тези нови данни придават тежест на това, което регулаторите казват от години: плащането на откуп рядко е краят на историята, а може да е просто началото на втора.