Ransomware-ofre, der betaler i håb om at få problemet til at forsvinde, bliver ofte skuffede. En nyligt offentliggjort global undersøgelse, AI-Era Ransomware Report, interviewede næsten 1.000 sikkerhedsprofessionelle på tværs af 12 markeder og fandt, at betaling af en løsesum langt fra er en garanteret løsning. Resultaterne giver ny vægt til en advarsel, som sikkerhedsforskere har gentaget i årevis: gentagne afpresningsbetalinger i forbindelse med ransomware er en reel og voksende risiko – ikke et sjældent tilfælde.

Hvad AI-Era Ransomware Report fandt

Undersøgelsen tegner et nedslående billede af, hvordan organisationer reagerer, når ransomware rammer. Over halvdelen af de organisationer, der blev ramt af et angreb – 54 % – endte med at betale en løsesum i et forsøg på at få deres følsomme data genoprettet. Af dem, der betalte, fik 56 % faktisk adgang til deres filer eller systemer igen. Men det mere bekymrende tal er det, der skete derefter: mere end en tredjedel af ofrene – 37 % – modtog et andet afpresningskrav, efter de allerede havde betalt det første.

Den statistik alene bør ændre, hvordan organisationer tænker om ransomware-håndtering. Betaling er ikke en engangstransaktion, der afslutter hændelsen. For mere end en tredjedel af ofrene i denne undersøgelse var det simpelthen det første træk i en længere og dyrere cyklus.

Hvorfor betaling ikke garanterer sikkerhed eller datagendannelse

Det er værd at dvæle ved regnestykket her. Selv blandt organisationer, der betalte, fik næsten halvdelen ikke fuldt genoprettet deres data alligevel. Og en stor andel af dem, der faktisk fik deres filer tilbage, blev derefter ramt igen – enten af den samme angriber, der krævede flere penge, eller af en anden gruppe, der så betalingen som bevis på, at offeret var villig til at forhandle.

Dette mønster stemmer overens med anden nyere forskning. En Proofpoint-undersøgelse dækket af vpn.social fandt tilsvarende, at betaling til ransomware-bander ofte slår tilbage, hvor en betydelig andel af betalende ofre står over for nye afpresningsforsøg. Når først en organisation betaler, kan den ende på en liste over bekræftede betalere – oplysninger, der cirkulerer blandt kriminelle grupper og gør organisationen til et mere attraktivt mål for fremtidige angreb, ikke mindre attraktivt.

Der er heller ingen håndhævbar kontrakt i en ransomware-forhandling. Angribere har ingen juridisk eller omdømmemæssig incitament til at overholde deres del af aftalen, når først pengene er overført. Dekrypteringsnøgler kan være ufuldstændige, fejlbehæftede eller simpelthen aldrig leveret. De data, der blev stjålet og brugt som løftestang, kan stadig sælges, lækkes eller holdes til en anden runde afpresning, uanset hvad der blev lovet.

Forebyggelsesalternativerne: backups, kryptering og netværkssegmentering

Givet disse odds er den mere modstandsdygtige strategi at reducere chancen for, at du nogensinde skal beslutte, om du skal betale i første omgang. Et par praksisser viser sig konsekvent at være effektive forsvar:

  • Vedligehold offline, testede backups. Backups, der er afkoblet fra hovednetværket og regelmæssigt testes for gendannelse, betyder, at en organisation kan komme sig uden at forhandle med en angriber overhovedet.
  • Kryptér følsomme data i hvile og under transmission. Selv hvis angribere eksfiltrerer filer, begrænser stærk kryptering, hvad de faktisk kan bruge eller sælge, hvilket reducerer løftestangen bag en datalækage-trusel.
  • Segmentér netværk. Opdeling af systemer i isolerede zoner begrænser, hvor langt ransomware kan sprede sig, når det først får et indledende fodfæste, og indeholder skaden til en mindre del af organisationen.
  • Opdater og overvåg konsekvent. Mange ransomware-indtrængninger udnytter stadig kendte, upatchede sårbarheder eller svage fjernadgangslegitimationsoplysninger, så grundlæggende hygiejne lukker en stor del af indgangspunkterne.

Ingen af disse foranstaltninger gør en organisation immun over for angreb, men tilsammen reducerer de både sandsynligheden for et succesfuldt brud og presset til at betale, hvis et skulle ske.

Opbyg en hændelsesresponsplan, før et angreb rammer

De organisationer, der klarer sig bedst efter en ransomware-hændelse, har tendens til at være dem, der allerede havde øvet deres respons, før angrebet skete. Det betyder at have en dokumenteret plan, der præciserer, hvem der træffer beslutningen om, hvorvidt der skal betales, hvilke juridiske og retshåndhævende kontakter der underrettes, hvordan kommunikation med medarbejdere og kunder håndteres, og hvordan systemer isoleres og gendannes.

At afholde tabletop-øvelser, hvor personale gennemgår et simuleret angrebsscenarie, hjælper med at afdække huller i planen, mens der ikke er noget reelt pres på spil. Det fremskynder også den faktiske respons, når en hændelse opstår, hvilket forkorter eksponeringsvinduet og reducerer fristelsen til at betale, blot fordi ingen anden mulighed ser ud til at være klar.

Hvad dette betyder for dig

For it-ledere og sikkerhedsteams er denne rapport en påmindelse om, at gentagne afpresningsbetalinger i forbindelse med ransomware er almindelige nok til at indgå i planlægningen – ikke en worst-case-afviger. Behandl en løsesumsbetaling som en sidste udvej med en reel chance for fiasko, ikke en pålidelig forsikring. Budgettér til forebyggelse (backups, segmentering, overvågning) på samme måde, som du ville budgettere til andre kerneinfrastrukturomkostninger, fordi tallene tyder på, at det er billigere i det lange løb end gentagne forhandlinger med angribere.

For individuelle brugere og mindre organisationer uden et dedikeret sikkerhedsteam kan de samme principper skaleres ned: hav en offline kopi af alt, der ikke kan erstattes, brug kryptering, hvor det er tilgængeligt, og ved på forhånd, hvem du ville ringe til, hvis dine systemer nogensinde blev låst.

Vigtigste pointer

  • 54 % af de adspurgte organisationer, der blev ramt af et ransomware-angreb, betalte løsesummen, men kun 56 % af betalerne fik fuldt adgang til deres data igen.
  • 37 % af de organisationer, der betalte, blev ramt af et andet afpresningskrav, hvilket viser, at betaling ikke afslutter risikoen.
  • Offline-backups, kryptering og netværkssegmentering reducerer både oddsene for et succesfuldt angreb og presset til at betale.
  • En testet hændelsesresponsplan, opbygget før et angreb sker, forkorter genopretningstiden og reducerer afhængigheden af løsesumsbetalinger.
  • Læsere kan gennemgå Proofpoint-undersøgelsens resultater for yderligere understøttende data om, hvor ofte løsesumsbetalinger ikke løser et angreb.