Когато на екраните на компания се появи бележка за откуп, инстинктът често е да се третира като IT авария: изолиране на мрежата, повикване на екипа по сигурност, оценка на щетите по сървърите. Но нарастващ обем от насоки, най-скоро подробно описани от Cyber Daily в техния анализ на вземането на решения при кибер изнудване, ясно показва, че плащането или отказът от откуп е далеч повече от технически избор. Това е правно, финансово и преди всичко решение за поверителност, което засяга всеки клиент, служител и партньор, чиито данни се намират в пробитите системи.

Правното минно поле зад решението за откуп

Един от най-пренебрегваните аспекти на кибер изнудването е, че плащането на престъпниците не винаги е правно просто. В зависимост от това кой стои зад атаката, плащането на откуп може да изложи плащащата организация на риск от санкции, особено когато заплашващият актьор или неговата инфраструктура са свързани със санкционирано лице или юрисдикция. Организации, които бързат да платят без правен преглед, могат да се окажат изправени пред регулаторен контрол върху самия пробив. Както беше очертано в нашето по-ранно отразяване за това как плащанията на откуп рискуват санкции от OFAC, решението да се плати не е само за това дали компанията може да си позволи искането. Става въпрос дали самото плащане е законно и дали организацията е извършила своята дължима проверка, за да разбере.

Точно затова реакцията на кибер изнудване не може да стои само в IT отдела. Правни съветници, служители по съответствие и често правоприлагащите органи трябва да бъдат част от разговора от най-ранния възможен момент, а не да бъдат включени след като плащането вече е изпратено.

Защо това е проблем за поверителността, а не само IT проблем

Ransomware преди беше основно за заключване на файлове. Това се промени. Съвременните групи за изнудване все повече крадат данни, преди да криптират нещо, и след това използват заплахата от разкриване като лост. Тази промяна превръща всеки инцидент с ransomware в инцидент с лични данни, независимо дали системите в крайна сметка са възстановени.

Видяхме тази еволюция да се ускорява в реално време. Някои групи преминаха отвъд директната заплаха към жертвата организация и сега заплашват да се свържат със собствените клиенти на компанията, оказвайки натиск, като се насочват към хората, чиято лична информация всъщност е заложена. Тази тактика изцяло променя сметката: дори пълно плащане на откуп не гарантира, че откраднатите клиентски данни няма да бъдат изтекли, продадени или използвани за по-нататъшно изнудване.

Организациите, които обмислят искане за откуп, трябва да питат не само „можем ли да възстановим системите си“, но и „какво се случва с личните данни на всички в нашите системи, независимо какво решим“. Плащането на откуп може да купи ключ за декриптиране. То не заличава факта, че чувствителни данни са били изложени на престъпници на първо място.

Плащането не гарантира безопасност

Дори когато организациите плащат, няма надеждни доказателства, че това приключва проблема. Проучване на Proofpoint установи, че значителен дял от компаниите, които плащат откуп, се сблъскват с повторни опити за изнудване, понякога от същите нападатели, връщащи се за второ плащане. Тези данни подкопават една от най-често срещаните обосновки за плащане: вярата, че това кара проблема да изчезне.

Някои организации избраха напълно различен път. Stadler Rail, швейцарският производител на влакове, публично отказа многомилионно искане за откуп, след като нападатели откраднаха данни чрез доставчик трета страна, залагайки, че отказът е по-малко рискован от легитимирането на икономиката на изнудването. Междувременно пейзажът на ransomware продължава да се променя; скорошен индустриален обзор, проследяващ кои групи доминират настоящата заплашителна среда, показва, че плащането на една банда не намалява общия риск от десетките други, които все още са активни.

Какво означава това за вас

Независимо дали управлявате малък бизнес или отговаряте за сигурността на голямо предприятие, решението да платите или не никога не трябва да се взема изолирано от тези, които управляват сървърите. То изисква правен преглед за санкции и регулаторна експозиция, оценка на поверителността на точно какви данни са били достъпени и реалистично разбиране, че плащането не предлага гаранция срещу бъдещо изнудване или изтичане. За обикновените потребители изводът е различен, но свързан: безопасността на вашите лични данни след пробив зависи силно от решенията, взети от компании, с които може никога да не взаимодействате директно, поради което разбирането на това как организациите се справят с кибер изнудването има значение, дори и да не сте тези, които са изправени пред бележката за откуп.

Практически изводи

Организациите трябва да изградят план за реагиране при инциденти преди да настъпи атака, който изрично включва правни съветници и оценка на поверителността заедно с техническото отстраняване. Никога не третирайте решението за откуп като чисто финансово; рисковете от санкции и съответствие са реални и могат да усложнят първоначалния пробив. Приемете, че всякакви извлечени данни може вече да са компрометирани, независимо от плащането, и планирайте уведомленията на клиентите и служителите съответно. И накрая, помнете, че най-безопасната дългосрочна стратегия срещу кибер изнудването не е бързо плащане на откуп, а по-силни защити, които предотвратяват успешното осъществяване на опита за изнудване на първо място.