Hvad de nye data om løsepengebetalinger viser

En ny rapport fra sikkerhedsfirmaet Proofpoint, offentliggjort onsdag, leverer en ubehagelig bekræftelse til alle, der nogensinde har overvejet at betale en ransomware-bande for at få et problem til at forsvinde: en betydelig andel af de ofre, der betaler, ender med at stå over for et andet afpresningskrav. Rapporten understreger noget, som sikkerhedsforskere og incidentrespondere har argumenteret for i årevis: at ransomware-forhandlinger ikke føres i god tro, og at betaling ikke garanterer, at en angriber rent faktisk går væk.

Proofpoints data tilføjer hårde tal til et mønster, som forsvarere længe har mistænkt på anekdotisk basis. Organisationer, der efterkommer et løsepengekrav, køber sig ikke en afslutning. De køber ofte en ny runde pres for den samme angriber, eller for en helt anden gruppe, til at vende tilbage og bede om mere.

Hvorfor betaling af løsepenge indbyder til et nyt angreb

Logikken bag gentagen afpresning er ligetil, når man tænker over det fra angriberens perspektiv. En ransomware-gruppes forretningsmodel afhænger af, at ofrene tror, at betaling afslutter krisen. Men der findes ingen juridisk kontrakt, ingen håndhævelsesmekanisme og ingen tilstrækkelig stor risiko for omdømmetab til at garantere en angribers ord, når pengene først er overført. Hvis et offer allerede har vist vilje og evne til at betale, bliver det offer et mere attraktivt mål, ikke en afsluttet konto.

Det er en del af grunden til, at sikkerhedsforskere beskriver ransomware-forhandling som fundamentalt anderledes end en normal forretningstransaktion. Der er intet incitament for modparten til rent faktisk at gå væk. En kriminel gruppe, der én gang med succes har afpresset en betaling, har al mulig grund til at teste, om den samme organisation vil betale igen, hvad enten det sker ved at kryptere systemer igen, true med at lække tidligere stjålne data endnu en gang eller blot genåbne et nyt krav knyttet til det oprindelige brud.

Denne dynamik er tæt forbundet med det, branchen kalder dobbeltafpresning eller multiafpresning, hvor angribere ikke bare krypterer filer, men også stjæler data på forhånd, hvilket giver dem flere prespunkter til at presse et offer, selv efter at løsesummen er betalt. Proofpoints resultater tyder på, at selv efter at den første preskampagne lykkes, er kilden ikke nødvendigvis udtømt.

Hvordan uopdagede brud gør genafpresning lettere

En af grundene til, at gentagen afpresning fungerer så godt for angribere, er, at mange ofre ikke fuldt ud forstår omfanget af et brud, når de beslutter at betale. Hvis en organisation opdager krypterede filer og forhandler om en løsesum uden først at fastslå, præcis hvilke data der blev tilgået, kopieret eller efterladt som bagdør, har den reelt accepteret en pris uden at vide, hvad den faktisk køber tilbage.

Dette gab mellem opdagelse og respons er et tilbagevendende tema i ransomware-forskning. Som beskrevet i en relateret rapport om ransomware-opdagelsesfejl, mister næsten halvdelen af alle ransomware-ofre data, før de overhovedet opdager, at et angreb er i gang. Denne forsinkelse betyder enormt meget her: Hvis et offer ikke ved, at en angriber eksfiltrerede data uger inden ransomwaren blev udløst, gør betaling for at låse filer op intet for at håndtere de stjålne oplysninger, der ligger på en kriminel server, og som kan tjene penge igen gennem et nyt krav, sælges separat eller bruges til en ny lækagetrussel på et senere tidspunkt.

Defensive skridt: Backups, overvågning og planlægning af incidentrespons

Den praktiske konklusion fra Proofpoints rapport er ikke, at betaling af løsesum aldrig bør finde sted under nogen omstændigheder. Det er, at betaling aldrig bør behandles som en garanteret løsning. Organisationer og enkeltpersoner, der administrerer mindre netværk eller virksomheder, er bedre tjent med at investere tidligt i forebyggelse og opdagelse frem for sent i forhandling.

Det betyder, at man vedligeholder regelmæssige, testede, offline backups, så krypterede filer kan gendannes uden at betale nogen. Det betyder, at man investerer i overvågningsværktøjer, der kan opdage uautoriseret dataadgang, inden angribere når at eksfiltrere store mængder følsomme oplysninger. Og det betyder, at man har en incidentresponsplan på plads, inden et angreb sker, en plan der omfatter retsmedicinsk undersøgelse for at fastslå, præcis hvad der blev tilgået, ikke kun om filer blev krypteret.

Hvad dette betyder for dig

For små virksomhedsejere og enkeltpersoner er budskabet fra denne forskning klart: Gå ikke ud fra, at betaling af en løsesum er den hurtige, rene løsning, som den ser ud til at være i øjeblikket. Angribere, der allerede har vist sig villige til at afpresse dig én gang, har både midlerne og motivet til at gøre det igen. Det virkelige forsvar mod gentagne ransomware-afpresningsangreb er ikke en bedre forhandlingsstrategi, men at reducere sandsynligheden for, at du overhovedet havner i den situation, gennem stærke backups, hurtigere opdagelse og en klar responsplan.

Praktiske konklusioner

  • Behandl betaling af løsesum som en sidste udvej, ikke en garanteret løsning, for Proofpoints data viser, at angribere ofte vender tilbage med nye krav.
  • Prioriter offline, testede backups, så kryptering alene ikke kan fremtvinge en betalingsbeslutning.
  • Invester i detektionsværktøjer, der tidligt opdager dataeksfiltrering, da forsinket opdagelse giver angriberne større mulighed for gentagen afpresning.
  • Opbyg en incidentresponsplan, inden et angreb indtræffer, herunder retsmedicinske trin til at fastslå det fulde omfang af ethvert brud.
  • Gå ud fra, at data stjålet inden betaling af en løsesum forbliver en fremtidig risiko, uanset hvad angriberne lover.