Hvorfor garanterer betaling af en løsesum ikke, at problemet er væk?

Betaling løser kun det umiddelbare nedbrud; stjålne data kan kopieres, videresælges eller bruges til endnu en afpresning, og angriberne har ingen forpligtelse til at overholde aftalen.

Hvad er dobbelt afpresning i ransomware-angreb?

Dobbelt afpresning betyder, at angribere krypterer systemer og også stjæler følsomme data, inden de kræver betaling, så de stjålne data forbliver en belastning, selv hvis en dekrypteringsnøgle gives.

Er små og mellemstore virksomheder i risiko for gentagne ransomware-angreb?

Ja, de er i stigende grad mål, fordi de ofte har færre ressourcer til detektion og respons, og en enkelt vellykket betaling kan markere dem som villige og i stand til at betale igen.

Hvad betyder Proofpoints fund for virksomheder, der overvejer at betale løsesum?

Det viser, at betaling ikke får hændelsen til at forsvinde; i stedet kan det åbne et nyt kapitel, idet over en tredjedel af betalerne oplever et sekundært afpresningsforsøg.

Proofpoint: 1 ud af 3 ransomware-betalere bliver ramt igen

Q: Hvor stor en procentdel af ransomware-betalere udsættes for et andet angreb?

Ifølge Proofpoints undersøgelse blev over en tredjedel af de virksomheder, der betalte et ransomware-krav, senere mål for et sekundært afpresningsforsøg.

Hvad Proofpoints undersøgelse fandt om gentagne angreb

En ny undersøgelse fra cybersikkerhedsfirmaet Proofpoint giver en ædruelig virkelighedscheck til organisationer, der betragter ransomware-betalinger som en hurtig løsning. Ifølge undersøgelsen blev over en tredjedel af de virksomheder, der betalte et ransomware-krav, senere mål for et sekundært afpresningsforsøg. Med andre ord: at underskrive checken lukker ikke bogen om en hændelse; for en betydelig del af ofrene åbner det blot et nyt kapitel.

Denne konstatering er vigtig, fordi den udfordrer en almindelig antagelse i bestyrelseslokaler under en krise: at betaling til angriberne er den hurtigste måde at få problemet til at forsvinde på. Proofpoints data tyder på det modsatte. Når en virksomhed viser, at den er villig til at betale, kan den blive et gentagent mål – enten for den oprindelige angriber eller for en anden gruppe, der har fået kendskab til, at organisationen er et let offer.

Hvorfor betaling af løsesum ikke garanterer datasikkerhed

Det centrale problem, som Proofpoint fremhæver, er, at løsepengeforhandlinger bygger på tillid til kriminelle, der ikke har nogen forpligtelse til at overholde deres del af aftalen. At betale for at låse krypterede filer op garanterer ikke, at stjålne data ikke allerede er blevet kopieret andre steder, og forhindrer heller ikke, at angriberne videresælger adgangsoplysninger, netværkskort eller eksfiltrerede filer til andre kriminelle grupper.

Det er mekanismen bag den cyklus af gentagen afpresning, som undersøgelsen beskriver. Moderne ransomware-operationer benytter i stigende grad dobbelt afpresning, hvor systemer krypteres, samtidig med at følsomme data stjæles, inden der kræves betaling. Selv hvis en dekrypteringsnøgle leveres som lovet, forbliver de stjålne data en belastning. De kan bruges til endnu en afpresning, sælges på kriminelle markedspladser eller udnyttes af en helt anden trusselsaktør, der køber adgang fra den oprindelige angriber. Betalingen løser det umiddelbare nedbrud, men den gør intet for at adressere den underliggende eksponering af organisationens data.

Den voksende trussel mod små og mellemstore virksomheder

Mens store virksomheder historisk har domineret ransomware-overskrifterne, er mindre og mellemstore virksomheder i stigende grad i skudlinjen, ofte fordi de har færre ressourcer til at investere i detektion, respons og genopretning. Disse organisationer kan være særligt sårbare over for det mønster af gentagen afpresning, som Proofpoint beskriver, da en enkelt vellykket betaling kan markere dem som både villige og i stand til at betale igen.

Denne dynamik udspiller sig allerede med ransomware-as-a-service-operationer, der specifikt retter sig mod mindre organisationer. Som detaljeret beskrevet i dækningen af Qilin og The Gentlemen ransomware-bander, der optrapper angreb mod SMV'er, konkurrerer disse grupper om dominans ved at fokusere på virksomheder, der måske mangler den forhandlingserfaring, juridiske bistand eller den hændelsesresponsinfrastruktur, som større virksomheder kan trække på. Når en mindre virksomhed betaler én gang, har den muligvis ikke ressourcer til grundlæggende at ændre sin sikkerhedsposition bagefter, hvilket efterlader de samme sårbarheder åbne for næste forsøg.

Reducer din risiko: Backups, kryptering og hændelsesplanlægning

Proofpoints resultater understreger et budskab, som sikkerhedsprofessionelle har gentaget i årevis: forebyggelse og forberedelse betyder mere end forhandling. En række praktiske skridt kan mærkbart reducere både sandsynligheden for et angreb og skaden, hvis det sker.

For det første: Oprethold offline eller uforanderlige backups, der testes regelmæssigt. En ransomware-betaling bliver ofte den eneste mulighed, når backups mangler, er forældede eller selv bliver krypteret under angrebet. For det andet: Krypter følsomme data i hvile og under transmission, så selv hvis angriberne eksfiltrerer filer, har de stjålne data begrænset værdi. For det tredje: Opbyg en hændelsesresponsplan, inden et angreb sker – ikke undervejs. Denne plan bør omfatte klare roller, kommunikationsprotokoller og på forhånd godkendte juridiske og tekniske kontakter, så beslutninger ikke træffes i panik og under tidspres.

Organisationer bør også antage, at alle data, der er berørt af en indtrængen, i sidste ende kan dukke op offentligt eller blive videresolgt, uanset om der betales løsesum eller ej. At planlægge for denne mulighed – gennem procedurer for kundemeddelelser, tilbud om kreditovervågning og juridisk gennemgang – er langt mere pålideligt end at håbe, at en kriminel gruppe sletter stjålne filer efter betaling.

Hvad dette betyder for dig

Hvis din organisation nogensinde står over for et ransomware-krav, antyder Proofpoints undersøgelse, at beslutningen om at betale ikke bør behandles som en garanteret løsning. Risikoen for gentagen ransomware-afpresning er reel og dokumenteret: Betaling kan markere dig som et mål i stedet for at lukke hændelsen. Uanset om du driver en lille virksomhed eller administrerer sikkerheden for en større virksomhed, er den sikreste antagelse, at enhver ransomware-hændelse muligvis ikke er en engangsforeteelse, medmindre du adresserer de grundlæggende årsager, der tillod indtrængningen i første omgang.

Nøglepunkter

Antag ikke, at betaling afslutter truslen. Proofpoint fandt, at over en tredjedel af de betalende ofre står over for et andet afpresningsforsøg.
Prioriter uforanderlige, testede backups, så betaling aldrig er din eneste vej til genopretning.
Krypter følsomme data for at begrænse skaden ved eksfiltrering, selv hvis systemer kompromitteres.
Opbyg og øv en hændelsesresponsplan før et angreb, ikke under.
Erkend, at mindre virksomheder i stigende grad er mål for grupper som Qilin og The Gentlemen, hvilket gør proaktivt forsvar afgørende uanset virksomhedsstørrelse.