Virksomheder betaler fortsat løsesummer, viser nye data

På trods af årevis med vejledning, der opfordrer organisationer til at afvise løsepengekrav, udsteder mange virksomheder stadig checks til cyberkriminelle. Et nyt studie fra sikkerhedsfirmaet Proofpoint viser, at næsten en fjerdedel (22 %) af de virksomheder, der betalte en løsesum, efterfølgende blev ramt af et nyt afpresningskrav – et tal, der rejser alvorlige spørgsmål om, hvorvidt betaling overhovedet løser noget.

Undersøgelsen lander på et tidspunkt, hvor myndighederne presser hårdere på end nogensinde for, at organisationer holder linjen mod angribere. Storbritanniens National Cyber Security Centre (NCSC) har længe frarådet at betale løsesum og advaret om, at det tilskynder til yderligere angreb og ikke giver nogen garanti for, at stjålne eller krypterede data rent faktisk bliver leveret tilbage. Alligevel tyder Proofpoints resultater på, at officiel rådgivning og virkelighedens forretningsbeslutninger ofte er to vidt forskellige ting.

Hvorfor virksomheder alligevel betaler

Ransomware-angreb stiller virksomheder i en misundelsesværdig situation. Når systemer låses ned, eller følsomme data trues med offentlig eksponering, er ledere ofte tvunget til at afveje omdømmeskader, regulatoriske risici og driftsstop mod prisen på en løsesumsbetaling. For mange organisationer kan betaling føles som den hurtigste vej tilbage til normalen, selv når sikkerhedseksperter advarer om, at det sjældent går så glat.

Den kalkule bliver endnu mere risikabel, i lyset af hvordan ransomware-forretningen selv er blevet professionaliseret. Forhandling er blevet en slags nicheindustri, hvor firmaer hyres specifikt til at kommunikere med angribere og forsøge at nedbringe kravene. Men den industri har ikke været uden kontroverser. I en opsigtsvækkende sag blev en professionel forhandler idømt 70 måneders fængsel for sin rolle i en BlackCat-ransomware-handel, en skarp påmindelse om, at de personer, der formidler disse betalinger, ikke altid handler i virksomhedens bedste interesse. En relateret sag, der involverer den samme forhandler, identificeret som Martino i retsdokumenter, understreger yderligere, hvor uigennemskueligt og juridisk risikabelt betalingsøkosystemet for løsesummer kan blive, når en mellemmand er involveret.

Privatlivsomkostningen ved at betale

Statistikken om 22 % gentagen afpresning er væsentlig, fordi den underminerer den kernebegrundelse, de fleste virksomheder giver for at betale: at det får problemet til at forsvinde. Hvis næsten en fjerdedel af ofrene angribes igen efter betaling, køber betalingen ikke sikkerhed. Den bekræfter måske blot over for angriberne, at organisationen er villig og i stand til at betale, hvilket gør den til et mere attraktivt mål for fremtidige angreb.

Der er også en privatlivsdimension, som ofte overses i disse diskussioner. Ransomware-angreb involverer hyppigt tyveri af følsomme data – kunderegistre, medarbejderoplysninger, finansielle detaljer – længe før nogen kryptering finder sted. At betale en løsesum fjerner ikke den eksponering. Angriberne kan allerede have kopieret dataene, og en betaling giver ingen verificerbar garanti for, at de vil blive slettet fremfor solgt eller lækket senere. For de personer, hvis data befinder sig i en ramt virksomheds systemer, har løsepengeforhandlingen bag lukkede døre ringe betydning for, om deres oplysninger forbliver private.

Hvad dette betyder for dig

Hvis du er forbruger, er disse data en påmindelse om, at en virksomheds beslutning om at betale en løsesum ikke nødvendigvis beskytter dine personlige oplysninger. Meddelelser om brud og tilbud om kreditovervågning i kølvandet på et ransomware-angreb bør tages alvorligt, uanset om den berørte virksomhed siger, at den har løst situationen med angriberne.

Hvis du arbejder inden for IT, sikkerhed eller ledelse, bør Proofpoints resultater indgå direkte i beredskabsplanlægningen. Betaling må aldrig behandles som en hurtig løsning. Organisationer, der har betalt én gang, ser ud til at forblive attraktive mål, hvilket betyder, at genopretningsplaner skal omfatte en stærkere efterfølgende hærdning, ikke bare en bankoverførsel og et lettelsens suk.

Praktiske anbefalinger

Nogle få konkrete skridt kan bidrage til at mindske både sandsynligheden for et angreb og konsekvenserne, hvis det sker:

  • Vedligehold offline, testede sikkerhedskopier, så truslen om kryptering mister sin magt.
  • Behandl ethvert ransomware-hændelse som et databrud som udgangspunkt, eftersom angribere ofte eksfiltrerer data, før de krypterer dem.
  • Inddrag retshåndhævende myndigheder og organer som NCSC tidligt i stedet for straks at gå til betaling eller forhandling.
  • Hvis en forhandler involveres, bør man undersøge vedkommende grundigt i lyset af de juridiske risici, som nylige retssager har fremhævet.
  • Kommuniker transparent med berørte kunder eller medarbejdere, uanset om der er blevet betalt en løsesum.

Ransomware forsvinder ikke, og fristelsen til at betale for en hurtig løsning vil forblive stærk. Men disse nye data lægger vægt bag det, myndighederne har sagt i årevis: At betale en løsesum er sjældent historiens slutning – og det kan meget vel være begyndelsen på en ny.