Плащането на откуп на хакерите не гарантира спокойствие

Организациите, които плащат откуп за рансъмуер с надеждата проблемът да изчезне, може би трябва да преосмислят тази стратегия. Ново проучване, отразено от TechRadar, установи, че макар 56% от жертвите, платили откуп, да възвърнали достъпа до системите си, повече от една трета, 37%, са получили второ искане за изнудване скоро след като са предали първото плащане. Други 2% са платили и така и не са възстановили данните си.

Откритията поставят под съмнение широко разпространеното схващане, че плащането на откуп за рансъмуер е пряка сделка: плащаш, получаваш ключ за декриптиране, продължаваш напред. Вместо това данните сочат, че за значителен дял от жертвите първото плащане се третира от нападателите като начало, а не като край. Това съвпада с резултатите от други скорошни проучвания. Отделен доклад за рансъмуер установява, че почти половината организации плащат, а след това преговарят, което затвърждава схващането, че плащанията за рансъмуер рядко са чисти, еднократни разходи.

Защо хакерите се връщат за още

Логиката зад повторния опит за изнудване е ясна от гледна точка на атакуващия. Ако пострадала организация вече е демонстрирала готовност и способност да плаща, тя става по-привлекателна цел за последващи искания. Групите за рансъмуер знаят, че компаниите под натиск да възстановят операциите си, да защитят клиентските данни или да избегнат регулаторни санкции, често са склонни да платят отново, вместо да рискуват продължителен престой или публично оповестяване на пробив.

Проучването също така подчертава още една особеност в процеса на преговори за откуп: гъвкавостта на цената. Експертите, цитирани в доклада, отбелязват, че операторите на рансъмуер често намаляват първоначалното си искане, като някои отстъпки достигат до 96% от първоначалната цена. Това не е щедрост. То отразява преговорна стратегия, при която първата цифра е умишлено завишена, а истинската цел е просто да се изтръгне някакво плащане, каквото и да е, от жертвата. Разбирането на тази динамика е важно, защото показва, че исканията за откуп не са фиксирани цени, определени от рационален пазар. Те са начални оферти в преговори, целящи да максимизират това, което вече напрегнатата организация е готова да плати.

Взети заедно, завишените първоначални искания, големите отстъпки и моделът на повторно изнудване рисуват картина на екосистема, изградена около натиск, а не честна размяна. Веднъж платила, жертвата дава на атакуващите доказателство, че натискът работи, и тази информация може да бъде използвана отново – или срещу същата организация, или споделена в престъпни кръгове като свидетелство, че целта си заслужава.

Какво означава това за вас

За физически лица, малки предприятия и големи компании изводът не е, че никога не трябва да се плаща откуп при никакви обстоятелства (това е решение, което всяка организация трябва да прецени въз основа на собствената си толерантност към риск и правните си задължения). По-скоро изводът е, че плащането никога не трябва да се приема като гарантирано решение. Всеки, който обмисля плащане на откуп, трябва да планира възможността това да не бъде последното искане и че възстановяването на данните не е гарантирано, дори след размяната на парите.

Това е особено актуално за по-малки организации и физически лица, които може да нямат специализирани екипи за реагиране на инциденти. Същият доклад за рансъмуер, който показва, че жертвите плащат и след това отново преговарят, подчертава, че дори добре обезпечените компании срещат трудности да затворят цикъла след атака. Без професионална подкрепа за реакция на инциденти, шансовете за благоприятен изход след плащане не са непременно по-добри за по-малките цели.

Практическата последица е, че превенцията и подготовката са много по-важни от умението за преговори след факта. Надеждните, офлайн резервни копия, тестваните процедури за възстановяване и силната защита на крайните устройства намаляват лостовете, с които атакуващите разполагат на първо място. Ако една организация така и не се налага да обмисля плащане, защото може да се възстанови от резервни копия, целият цикъл на изнудване, включително рискът от второ искане, става без значение.

Практически изводи

  • Поддържайте редовни, тествани резервни копия, съхранявани офлайн или в отделна, изолирана среда, така че възстановяването да не зависи от съдействието на атакуващите.
  • Приемайте всяко плащане на откуп като бизнес решение с реален риск от последващи искания, а не като гарантирано разрешение.
  • Включете правоохранителните органи и опитни специалисти по реагиране на инциденти, преди да вземете решение за плащане, тъй като те често имат информация за досието на дадена група.
  • Инвестирайте в основна хигиена на сигурността, включително прилагане на кръпки, многофакторно удостоверяване и сегментиране на мрежата, за да намалите шанса да станете жертва на първо място.

В крайна сметка, това проучване е напомняне, че плащането на откуп не купува приключване, а купува шанс. Организациите, които планират устойчивост, вместо да разчитат на преговори, са в далеч по-силна позиция, независимо дали изобщо ще се сблъскат с искане за откуп.