Když se na obrazovkách firmy objeví výzva k zaplacení výkupného, instinkt často velí řešit to jako IT nouzi: izolovat síť, zavolat bezpečnostní tým, vyhodnotit škody na serverech. Rostoucí množství doporučení, naposledy podrobně rozebraných serverem Cyber Daily v jeho analýze rozhodování při kybernetickém vydírání, však jasně ukazuje, že zaplacení či odmítnutí výkupného je mnohem víc než jen technická volba. Je to právní, finanční, a především rozhodnutí týkající se ochrany soukromí, které se dotýká každého zákazníka, zaměstnance a partnera, jejichž data se v napadených systémech nacházejí.

Právní minové pole za rozhodnutím o výkupném

Jedním z nejvíce přehlížených aspektů kybernetického vydírání je, že platba zločincům není vždy právně jednoznačná. V závislosti na tom, kdo za útokem stojí, může platba výkupného vystavit platící organizaci riziku sankcí, zejména pokud je aktér hrozby nebo jeho infrastruktura napojena na sankcionovaný subjekt či jurisdikci. Organizace, které bez právní kontroly spěchají s platbou, mohou čelit regulatornímu šetření nad rámec samotného incidentu. Jak jsme podrobněji popsali v našem dřívějším článku o tom, jak platby ransomwaru riskují sankce OFAC, rozhodnutí zaplatit není jen o tom, zda si firma může požadavek dovolit. Jde o to, zda je samotná platba legální a zda organizace provedla náležitou prověrku, aby to zjistila.

Právě proto nemůže reakce na kybernetické vydírání spočívat výhradně na IT oddělení. Právní poradci, pracovníci compliance a často i orgány činné v trestním řízení musí být součástí diskuse od co nejranějšího okamžiku, nikoli přizváni až poté, co byla platba odeslána.

Proč je to problém ochrany soukromí, nejen IT problém

Ransomware býval především o znepřístupnění souborů. To se změnilo. Moderní vyděračské skupiny stále častěji nejprve kradou data a teprve poté šifrují, a hrozbu zveřejnění využívají jako páku. Tento posun mění každý ransomwarový incident na incident ochrany osobních údajů, bez ohledu na to, zda se systémy nakonec podaří obnovit.

Tento vývoj jsme mohli sledovat v reálném čase. Některé skupiny již přestaly vyhrožovat přímo napadené organizaci a nyní vyhrožují kontaktováním vlastních zákazníků firmy, čímž vytvářejí tlak na osoby, o jejichž osobní údaje ve skutečnosti jde. Tato taktika zcela mění kalkulaci: ani úplné zaplacení výkupného nezaručuje, že ukradená zákaznická data nebudou uniknuta, prodána nebo použita k dalšímu vydírání.

Organizace zvažující požadavek na výkupné si musí položit nejen otázku „dokážeme obnovit naše systémy?“, ale i „co se stane s osobními údaji všech, kdo v našich systémech figurují, ať už se rozhodneme jakkoli?“. Platba výkupného může zajistit dešifrovací klíč, ale nevymaže skutečnost, že citlivá data byla v první řadě vystavena zločincům.

Zaplacení nezaručuje bezpečnost

I když organizace zaplatí, neexistují spolehlivé důkazy, že by tím problém skončil. Výzkum společnosti Proofpoint zjistil, že významná část firem, které zaplatí výkupné, čelí opakovaným pokusům o vydírání, někdy od stejných útočníků, kteří si přijdou pro druhou platbu. Tato data podkopávají jeden z nejčastějších důvodů pro placení: přesvědčení, že problém zmizí.

Některé organizace se vydaly zcela jinou cestou. Švýcarský výrobce vlaků Stadler Rail veřejně odmítl zaplatit několikanásobné výkupné poté, co útočníci prostřednictvím externího dodavatele ukradli data, a vsadil na to, že odmítnutí je méně riskantní než legitimizace ekonomiky vydírání. Mezitím se prostředí ransomwaru neustále proměňuje; nedávný oborový přehled sledující, které skupiny dominují současné hrozbové scéně, ukazuje, že zaplacení jednomu gangu nesnižuje celkové riziko ze strany desítek dalších, které jsou stále aktivní.

Co to znamená pro vás

Ať už provozujete malou firmu, nebo řídíte bezpečnost ve velkém podniku, rozhodnutí zaplatit či nezaplatit by nikdy nemělo být činěno izolovaně tím, kdo spravuje servery. Vyžaduje to právní posouzení z hlediska sankcí a regulatorní expozice, posouzení dopadů na ochranu soukromí, které přesně určí, k jakým datům bylo přistoupeno, a realistické pochopení, že platba neposkytuje žádnou záruku proti budoucímu vydírání nebo únikům. Pro běžné spotřebitele je ponaučení odlišné, ale související: bezpečnost vašich osobních údajů po incidentu silně závisí na rozhodnutích firem, se kterými možná nikdy nepřijdete do přímého kontaktu, a proto je důležité rozumět tomu, jak organizace ke kybernetickému vydírání přistupují, i když to nejste vy, kdo čelí výzvě k zaplacení výkupného.

Praktické závěry

Organizace by měly vytvořit plán reakce na incidenty ještě předtím, než k útoku dojde, a to takový, který výslovně zahrnuje právní poradenství a posouzení dopadů na soukromí vedle technické nápravy. Nikdy nepřistupujte k rozhodnutí o výkupném jako k čistě finančnímu; sankční a compliance rizika jsou reálná a mohou původní incident ještě zhoršit. Předpokládejte, že jakákoli odcizená data již mohla být kompromitována bez ohledu na platbu, a podle toho plánujte oznámení zákazníkům a zaměstnancům. A konečně, pamatujte, že nejbezpečnější dlouhodobou strategií proti kybernetickému vydírání není rychlá platba výkupného, nýbrž silnější obrana, která pokusu o vydírání vůbec nedovolí uspět.