Hvorfor 1 ud af 5 betalinger af løsesum stadig ender i forræderi

Newzealandske virksomheder, der overvejer at betale et ransomwarekrav, har netop fået et nøgternt datapunkt. Ifølge rapportering om, hvilke newzealandske virksomheder der er mest tilbøjelige til at blive angrebet af ransomware-hackere, modtog 80 % af de ofre, der betalte, en fungerende dekrypteringsnøgle og fik ikke lækket deres stjålne data som lovet. Det lyder betryggende, indtil man vender tallet om: I ét ud af fem tilfælde betalte ofrene og fik intet. Ingen nøgle, ingen slettede filer, ingen overholdt aftale.

Dette er den ubehagelige kerne i risikoen ved at betale løsesum for ransomware. Hele afpresningsmodellen bygger på, at ofrene tror, at de kriminelle vil holde deres ord, fordi et ry for pålidelighed får fremtidige ofre til at betale. Men ry blandt kriminelle grupper er ikke en juridisk kontrakt, og rapporteringen gør det klart, at nogle aktører simpelthen tager pengene og går deres vej, eller endnu værre, vender tilbage for at få mere.

Hvordan ransomwaregrupper udvælger og genafpresser ofre

En af de mere foruroligende detaljer i rapporten involverer en gruppe ved navn SpaceBears, som angiveligt genafpressede ofre, der allerede havde betalt en løsesum én gang. I stedet for at betragte en betaling som afslutningen på en hændelse, befandt disse ofre sig tilbage ved start og stod over for et andet krav om de samme stjålne data. Denne taktik underminerer den grundlæggende antagelse, at betaling løser problemet. Hvis en kriminel gruppe har dine data, garanterer en enkelt betaling ikke, at de forsvinder fra deres besiddelse eller fra besiddelsen hos nogen, de senere sælger dem til.

Ransomwaregrupper fokuserer typisk på organisationer, som de mener er mere tilbøjelige til at betale hurtigt, ofte fordi omkostningerne ved nedetid eller skade på omdømmet overstiger selve løsesummen. Gendannelsesomkostningerne efter et angreb er konstant høje og dækker retsmedicinsk undersøgelse, genopbygning af systemer, juridisk rådgivning og potentielle forpligtelser til indberetning til myndigheder. Det er netop dette økonomiske pres, angriberne regner med, når de fastsætter deres pris og deadline.

Reducer eksponeringen: Grundlæggende databeskyttelse og sikkerhedshygiejne

I betragtning af at selv en vellykket betaling indebærer en risiko for fiasko på omkring 20 %, og at nogle grupper kan udnytte ofrene to gange, er den mere holdbare strategi at mindske sandsynligheden for et vellykket angreb i første omgang. Det starter med grundlæggende, men ofte overset sikkerhedshygiejne: regelmæssige offline- eller uforanderlige sikkerhedskopier, som ransomware ikke kan nå, rettidig patching af kendte sårbarheder, multifaktorautentificering på alle fjernadgangspunkter og netværkssegmentering, så en enkelt kompromitteret konto ikke kan føre til en fuldskala krypteringshændelse.

Dataminimering er lige så vigtig som tekniske forsvarsmekanismer. Organisationer, der opbevarer færre følsomme data, bevarer dem i kortere tid og krypterer det, de har, giver angriberne mindre magt, selv hvis et brud finder sted. Det er også her, forståelse af VPN-jurisdiktion bliver relevant for virksomheder og privatpersoner, der håndterer følsom trafik. Det land, hvor en tjenesteudbyder er juridisk baseret, bestemmer, hvilke data den kan tvinges til at udlevere, og hvilken retlig klageadgang ofrene har, hvis noget går galt. At vælge værktøjer og leverandører med klar, gunstig jurisdiktionsstatus er en del af en bredere forsvarsposition, ikke en separat bekymring fra ransomwareforebyggelse.

Bredere digitale politiske samtaler i New Zealand berører også dette spørgsmål. Som diskussionerne om New Zealands aldersbekræftelsesplaner viser, debatterer landet aktivt, hvor mange personlige data platforme og tilsynsmyndigheder bør indsamle og opbevare. Enhver ny pulje af lagrede personoplysninger er et potentielt ransomwaremål, hvilket gør dataminimering til et offentligt politisk spørgsmål såvel som et virksomhedsanliggende.

Hvad dette betyder for virksomheder og almindelige brugere

For newzealandske virksomheder er pointen ikke, at det altid er nytteløst at betale en løsesum. Tallet på 80 % viser, at angriberne ofte leverer. Men at betragte betaling som en pålidelig forsikringspolice er en fejl, som dataene ikke understøtter. En fiaskorate på én ud af fem kombineret med dokumenterede tilfælde af gentagen afpresning betyder, at betaling bør være en sidste udvej, der afvejes mod juridiske, økonomiske og omdømmemæssige faktorer, ikke en standardrespons indbygget i en beredskabsplan.

For almindelige brugere er lektien den samme i mindre skala. Personlige sikkerhedskopier, unikke adgangskoder og forsigtig håndtering af e-mailvedhæftninger og links forbliver det billigste og mest effektive forsvar mod den ransomware, der til sidst finder vej til enkeltpersoner gennem phishingkampagner. Gendannelse efter et angreb, uanset om man er en stor virksomhed eller en privatbruger, er dyrt og usikkert sammenlignet med forebyggelse.

Nøglepunkter

  • Omkring 20 % af ransomwareofre, der betaler, modtager intet til gengæld, på trods af løfter om dekrypteringsnøgler og sletning af data.
  • Nogle ransomwaregrupper, herunder SpaceBears, har genafpresset ofre, der allerede havde betalt én gang.
  • Pålidelige offline-sikkerhedskopier og stærke adgangskontroller fjerner helt afhængigheden af betaling af løsesum.
  • Dataminimering og kendskab til udbyderens jurisdiktion mindsker den magt, angribere kan have over dig.
  • Risici ved betaling af ransomwareløsesum bør indgå i enhver organisations beredskabsplanlægning, ikke kun den umiddelbare omkostning ved kravet.

At forstå risiciene ved betaling af ransomwareløsesum handler i sidste ende om at anerkende, at forebyggelse, disciplin omkring sikkerhedskopier og omhyggelig datahåndtering giver større sikkerhed end at stole på, at en kriminel virksomhed overholder sin del af en afpresningsaftale.