Delta Crisis-eksperter: Sådan bør virksomheder forhandle om ransomware

Ransomware-angreb er ikke længere et problem forbeholdt store koncerner med dybe lommer og dedikerede sikkerhedsteams. Ifølge Michael Sjøberg og Peter Skovbo fra Delta Crisis oplever mellemstore virksomheder, som udgør rygraden i mange nationale økonomier, i stigende grad at blive lammet af angribere, der krypterer kritiske systemer og kræver betaling for at genoprette adgangen. Deres rådgivning, offentliggjort via Handelsblatt, giver et sjældent indblik i, hvordan virksomheder faktisk forhandler med cyberafpressere, og hvilke skridt der kan reducere skaden, allerede før et angreb finder sted.

Hvorfor mellemstore virksomheder er det nye mål

I årevis var ransomware-overskrifter fokuseret på hospitaler, offentlige myndigheder og multinationale koncerner. Det billede er ved at ændre sig. Angribere har indset, at mindre og mellemstore virksomheder ofte mangler de lagdelte forsvarsværker, som større virksomheder har, men stadig ligger inde med værdifulde data og ikke har råd til længerevarende nedetid. Dette skift afspejler en bredere tendens, der er dokumenteret andetsteds i ransomware-økosystemet, hvor nogle grupper har bevæget sig mod det, forskere kalder områdeundertrykkelse af SMV-netværk, hvor de målretter hele klynger af mindre organisationer i stedet for omhyggeligt at udvælge enkelte højværdiofre. Logikken er enkel: volumen erstatter præcision, og selv beskedne løsesummer løber op, når de ganges hen over dusinvis af ofre.

Delta Crisis' erfaring tyder på, at når et angreb først rammer, handler forskellen mellem en virksomhed, der kommer sig med begrænset skade, og en, der lider varig skade, ofte om forberedelse og om, hvordan selve forhandlingen håndteres i de første timer og dage.

Inde i en ransomware-forhandling

Ifølge Sjøberg og Skovbo handler det at forhandle med cyberkriminelle ikke blot om at beslutte, hvorvidt man skal betale. Det kræver forståelse for angriberens forretningsmodel, verifikation af, hvilke data der faktisk er blevet stjålet eller krypteret, og håndtering af kommunikationen på en måde, der hverken provokerer gruppen til at ødelægge data eller signalerer desperation, som kunne drive kravet op. Dette er delikat arbejde, og det ligner i stigende grad en professionel serviceindustri på begge sider af bordet. Denne professionalisering er synlig på tværs af ransomware-landskabet generelt. Grupper har vedtaget strukturerede ransomware-som-en-tjeneste-modeller, et mønster, der også ses i advarsler om Gunra-ransomwares ekspansion til en RaaS-operation, hvor affiliates udfører angreb med værktøjer bygget af en kernergruppe mod en andel af udbyttet. Resultatet er en mere skalerbar og gentagelig afpresningsproces, hvilket er præcis derfor, forhandlingsstrategi betyder så meget for offeret.

Indgangsvinklen for mange af disse angreb fortjener også opmærksomhed. Angribere får ofte indledende adgang gennem social engineering snarere end gennem udnyttelse af obskure tekniske fejl. Kampagner, der misbruger værktøjer som Microsoft Teams til at udgive sig for falsk IT-support, viser, hvordan en enkelt overbevisende telefonsamtale eller chatbesked kan åbne døren til en fuld netværkskompromittering, længe før nogen løseseddel dukker op.

Indsatsen vedrørende privatliv og dataeksponering

Ransomware-forhandling handler ikke kun om at genoprette adgangen til krypterede filer. Moderne ransomware-grupper stjæler typisk data, før de krypterer dem, og truer derefter med at offentliggøre eller sælge oplysningerne, hvis betaling ikke finder sted. Denne dobbelte afpresningsmodel hæver indsatsen betydeligt, når det gælder privatlivets fred. Kunderegistre, medarbejderdata og fortrolige forretningsoplysninger kan ende med at blive eksponeret, uanset om en virksomhed betaler eller ej. Angribere er også blevet mere sofistikerede til at undgå opdagelse under indtrængningsfasen, herunder teknikker, der fuldstændigt deaktiverer sikkerhedsværktøjer, som set i rapporteringen om GodDamn-ransomware, der misbruger en signeret driver til at dræbe antivirussoftware. Den slags snigende adfærd betyder, at et brud kan forblive ubemærket i langt længere tid, hvilket giver angribere mere tid til at eksfiltrere følsomme data, før nogen indser, at noget er galt.

Hvad dette betyder for dig

Hvis du driver eller arbejder i en mellemstor virksomhed, er budskabet fra Delta Crisis klart: ransomware-parathed er ikke længere valgfrit, og den begynder længe før et angreb finder sted. Grundlæggende hygiejne, offline-backups, testede beredskabsplaner og medarbejdertræning mod social engineering forbliver det stærkeste forsvar. Hvis et angreb faktisk sker, bør beslutningen om, hvorvidt og hvordan man forhandler, aldrig træffes i isolation eller under panik. Erfarne forhandlere forstår angribernes psykologi, verificerer påstande, før de stoler på dem, og ved, hvordan man køber tid uden at eskalere trusler mod stjålne data.

For enkeltpersoner, hvis data kan befinde sig i en virksomheds systemer, understreger dette også, hvorfor organisationer skylder kunder gennemsigtighed, når et brud opstår, da ransomware-forhandlinger direkte påvirker, hvorvidt personlige oplysninger forbliver private eller ender med at blive lækket.

Vigtigste pointer

Virksomheder af enhver størrelse bør behandle ransomware som et spørgsmål om hvornår, ikke om. Byg en beredskabsplan før et angreb, vedligehold testede offline-backups, og identificer på forhånd, hvem der vil håndtere kommunikationen, hvis afpressere tager kontakt. Træn medarbejdere i at genkende social engineering-forsøg, især falsk udgivelse for at være nogen gennem hverdagens samarbejdsværktøjer. Hvis forhandling bliver nødvendig, involver erfarne fagfolk frem for at improvisere, da den måde, en virksomhed reagerer på i de første timer, kan forme både det økonomiske resultat og, hvor meget personlige eller virksomhedsdata der i sidste ende bliver eksponeret.