Почти половината все още плащат, но първо се пазарят

Нов доклад, който се разпространява, рисува позната, но неудобна картина: почти половината организации, засегнати от рансъмуер криптиране, в крайна сметка плащат откупа. Изненадата е, че приблизително половината от тези жертви не предават просто пълната поискана сума. Вместо това те преговарят, като често успяват да накарат нападателите да приемат по-малко от първоначалната цена, преди да отключат криптираните файлове.

На пръв поглед това може да звучи като малка победа за жертвите. Да убедиш престъпна група да намали цената си се усеща като малък успех в иначе лоша ситуация. Но по-голямата история тук не е за това кой е по-добър в пазаренето. Става въпрос за това какво означава, че плащането на откуп и преговорите с престъпници са се превърнали в нормализирана част от начина, по който организациите реагират на кибератаки.

Защо компаниите плащат, вместо да се откажат

Рансъмуерът работи, като криптира файловете и системите на дадена организация, правейки ги неизползваеми, докато не бъде предоставен ключ за декриптиране, обикновено срещу заплащане. За компании без солидни резервни копия или за такива под натиск да възстановят операциите бързо, плащането може да изглежда като най-бързия път обратно към нормалното. Това изчисление става още по-лесно за оправдаване, когато нападателят е склонен да намали цената, което докладът предполага, че се случва често.

Тази динамика на преговорите не е нова за икономиката на рансъмуера. Много операции с рансъмуер вече функционират като бизнеси, включително с чатове за поддръжка, портали за плащане и, да – възможност за преговори. Тази професионализация е част от причината плащането да се е превърнало в толкова чест резултат, вместо в крайна мярка.

Но плащането не гарантира чисто разрешаване на проблема. Дори когато откупът е платен и ключът за декриптиране е предаден, няма гаранция, че нападателите вече не са копирали чувствителни данни, преди да ги криптират. Това е ключов детайл, който често се губи в разговорите за преговори за откуп: плащането обикновено е за възстановяване на достъпа до файлове, а не за премахване на пробив, който може би вече се е случил.

Рискът за личните данни, който се крие зад всяко плащане на откуп

Тук историята се свързва с много по-голям проблем с личните данни. Атаките с рансъмуер все по-често включват кражба на данни заедно с криптиране, което означава, че нападателите изтеглят копия на чувствителни файлове, преди да заключат оригиналите. Свързани проучвания са установили, че 49% от жертвите на рансъмуер губят данни, преди да открият атаката, което означава, че докато пристигне искането за откуп, щетите върху личните и организационните данни може вече да са нанесени.

Този детайл има огромно значение за всеки, чиято лична информация се намира в системите на дадена организация – независимо дали става въпрос за работодател, здравно заведение, училище или онлайн търговец. Успешното договаряне на сумата на откупа не отменя кражбата на данни, която вече се е случила. То също така не спира нападателите да продадат или изтекат тези данни по-късно, независимо дали откупът е бил платен изцяло, намален чрез преговори или напълно отказан.

Плащането на откуп, дори и намален, също рискува да укрепи самия бизнес модел. Всяко успешно плащане, независимо дали е договорено, сигнализира на нападателите, че рансъмуерът остава печеливш, което запазва стимулиращата структура за бъдещи атаки срещу други организации.

Какво означава това за вас

Повечето хора, които четат статистики за плащания на рансъмуер, не са тези, които решават дали да се плати. Това решение обикновено пада върху ИТ ръководството, изпълнителните директори или екипите за реагиране при инциденти. Но последствията се разпространяват към служителите, клиентите и всеки, чиито данни се съхраняват в засегнатите системи.

Ако получите уведомление за пробив от компания, претърпяла атака с рансъмуер, вземете го сериозно, независимо дали новината споменава, че е платен откуп. Кражбата на данни може да се случи преди дори да започне криптирането, така че платен откуп и възстановена система не означават непременно, че вашата информация е в безопасност. Следете за признаци на кражба на самоличност, наблюдавайте акаунтите си и обмислете кредитен мониторинг, ако организацията го предлага след инцидент.

За бизнеса и ИТ екипите, тенденцията за преговори е напомняне, че планирането на реакция трябва да отчита излагането на данни, а не само престоя на системата. Резервните копия помагат да избегнете плащането за ключ за декриптиране, но не предотвратяват изтичането или продажбата на откраднати данни, ако нападателите вече са ги изтеглили предварително.

Практически изводи

  • Не предполагайте, че платен откуп означава, че данните ви никога не са били копирани или изложени; директно попитайте засегнатите организации какво е потвърдено като откраднато.
  • Наблюдавайте акаунтите и кредитната си активност след всяко уведомление за пробив, дори ако компанията каже, че откупът е разрешен.
  • Ако управлявате бизнес, дайте приоритет на ранното откриване и мрежовото сегментиране, така че нападателите да имат по-малко време да изтеглят данни, преди да започне криптирането.
  • Разберете, че преговорите за откуп намаляват цената, но не и риска; излагането на откраднати данни остава отделна и дълготрайна заплаха.

Тенденциите за плащане на рансъмуер вероятно ще продължат да бъдат заглавия, тъй като все повече организации претеглят разходите за плащане срещу тези за възстановяване. Но за обикновените потребители истинският извод не е за тактиките на преговори. Става въпрос за това да останат бдителни за това какво се случва с техните данни дълго след като заглавията за плащането на откуп избледнеят.