Ново изследване от Сингапур отправя неудобно напомняне към бизнеса, който преценява дали да плати искане за откуп при рансъмуер: плащането често не слага край на изпитанието. Според репортаж на Singapore Business Review, 50% от местните организации, засегнати от атаки за изнудване, са предали пари на нападателите си, а поразителен дял от тези жертви на рансъмуер, които са платили, впоследствие са се изправили пред второ искане.

Констатацията противоречи на широко разпространеното предположение, че плащането на откуп е бърз начин да изчезне един скъпоструващ проблем. За много организации изглежда постига обратното: сигнализира на престъпните групи, че жертвата е едновременно склонна и способна да плати, което я превръща в основен кандидат за втори рунд.

Какво установи изследването

Основната цифра от проучването е проста, но отрезвяваща. Половината от анкетираните организации в Сингапур, преживели атака с рансъмуер или изнудване, са избрали да платят на нападателите си. Това е решение, взето на момента под огромен натиск, често при криптирани системи, спрени операции и надвиснали репутационни щети, които тежат върху изхода.

Това, което прави този набор от данни особено забележителен, е последващото развитие: значителна част от платилите не са получили приключване на случая. Вместо това са получили второ искане за изнудване – било от същата група, върнала се за още, или от свързан участник, експлоатиращ същия достъп или изтекли данни. Този модел не е уникален за Сингапур. Подобни констатации са излезли наяве и другаде, включително анализ, показващ, че бандите за рансъмуер подлагат на повторно изнудване 22% от жертвите, които вече са платили, а отделно изследване от Нова Зеландия установи, че приблизително 1 от всеки 5 платени откупа е предаден от нападатели, които са се върнали за още, въпреки полученото плащане.

Заедно тези данни рисуват последователна картина на различни пазари: плащането на откуп не купува надеждно безопасност и в значителен брой случаи може да увеличи вероятността от повторно таргетиране.

Защо нападателите се връщат за още

Поведенческата логика тук е ясна, щом я разгледате от гледна точка на престъпника. Жертва, която вече е платила, е демонстрирала три неща, ценни за изнудвача: разполага с пари, решила е, че плащането е за предпочитане пред алтернативата, и вероятно няма техническите защити, за да предотврати повторно проникване.

Операциите с рансъмуер все повече наподобяват бизнеси със собствени вътрешни показатели. Плащащият клиент, казано направо, е доказан потенциален доход. Някои групи също така функционират като филиали или франчайзи, което означава, че данните или мрежовият достъп на жертвата могат да бъдат препродадени или използвани повторно от съвсем различна престъпна организация, което води до второ искане, нямащо нищо общо с групата, стояща зад първата атака. И в двата случая жертвата остава да носи двойния риск.

Точно тази динамика е причината агенциите за киберсигурност и изследователите отдавна да предупреждават да не се третира плащането на откуп като разрешение, а като временна и ненадеждна мярка.

Отвъд плащането на откуп: Изграждане на истинска защита

Ако плащането не е гарантирано решение, върху какво трябва да съсредоточат усилията си организациите и хората? Отговорът се крие в намаляване на вероятността от успешна атака на първо място и в ограничаване на щетите, когато такава се случи.

Това започва с основите: поддържане на офлайн, тествани резервни копия, така че криптираните данни да могат да бъдат възстановени без преговори с нападателите. Означава също затягане на контрола върху отдалечения достъп, тъй като компрометираните идентификационни данни и изложените протоколи за отдалечен работен плот остават често срещани входни точки за бандите с рансъмуер. Криптирането на чувствителния трафик и използването на сигурни, добре конфигурирани VPN връзки за отдалечена и хибридна работа могат да намалят повърхността за атака, на която престъпниците разчитат, за да получат първоначален достъп. Обучението на служителите да разпознават опити за фишинг, които остават водещ метод за доставка на рансъмуер полезен товар, допълва многопластовата стратегия за защита, която не зависи от надеждата, че нападателите ще удържат на думата си.

Какво означава това за вас

Особено за малкия и средния бизнес това изследване трябва да преобрази планирането на реакция при инциденти. Ако вашата организация някога бъде ударена от рансъмуер, решението да платите не бива да се третира като чиста изходна стратегия. Бюджетирайте и планирайте така, сякаш плащането може да купи само временно облекчение, а не трайно разрешение. Това означава да имате документиран план за реакция при инциденти, правни и регулаторни насоки, подготвени предварително, и трезво разбиране, че плащането може да привлече допълнително таргетиране, вместо да го прекрати.

За отделните хора и отдалечените работници изводът е по-личен: слабите места, които нападателите експлоатират – от неактуализиран софтуер до необезопасени връзки – често са предотвратими чрез основни хигиенни навици, а не чрез скъпи инструменти.

Основни изводи

  • Половината от сингапурските организации, засегнати от атаки за изнудване, са платили на нападателите си, според новото изследване.
  • Значителен дял от жертвите на рансъмуер, които са платили, все пак са получили второ искане за изнудване, което повтаря подобни констатации в световен мащаб.
  • Плащането трябва да се третира като последна мярка, а не като гарантирано решение на активна атака.
  • Стабилните резервни копия, сигурният отдалечен достъп и осведомеността за фишинг намаляват вероятността изобщо да се изправите пред такова решение.
  • Организациите трябва да планират реакцията при инциденти, допускайки, че нападателите могат да се върнат, вместо да приемат, че плащането слага край на заплахата.

В крайна сметка изследването е призив за преместване на фокуса от реактивни решения за плащане към проактивна превенция. Бизнесите, които са в най-добра позиция да устоят на атака с рансъмуер, са онези, които никога не трябва да решават дали плащането си струва риска.