Proofpoint-undersøgelse: At betale ransomware-grupper giver ofte bagslag

Betalinger til ransomware afslutter sjældent truslen, viser undersøgelse

En ny undersøgelse fra sikkerhedsfirmaet Proofpoint sætter friske tal bag en advarsel, som myndighederne har gentaget i årevis: at betale en ransomware-gruppe gør sjældent problemet væk. Ifølge forskningen indrømmede 58 procent af de adspurgte virksomheder i Storbritannien at have betalt en løsesum efter et ransomware-angreb. Men dataene tyder på, at denne beslutning ofte inviterer til flere problemer snarere end en afslutning.

Undersøgelsen viste, at omkring 22 procent af de organisationer, der betalte en løsesum, blev afpresset igen af de samme angribere, nogle gange for yderligere betalinger knyttet til de samme stjålne data. I nogle tilfælde betalte ofrene én gang for at låse deres systemer op, blot for at blive kontaktet uger eller måneder senere med nye trusler om at lække de samme oplysninger, medmindre der blev foretaget endnu en betaling. Endnu mere bekymrende er det, at omkring 2 procent af de ofre, der betalte en løsesum, aldrig fik deres filer tilbage, enten fordi de dekrypteringsværktøjer, angriberne leverede, fejlede, eller fordi de kriminelle simpelthen aldrig havde til hensigt at holde deres løfte.

Dette mønster stemmer overens med, hvad FBI og Europol i årevis har fortalt virksomheder: betaling af løsesum finansierer kriminelle operationer, garanterer sjældent en ren løsning og kan stemple en organisation som et let mål, der er villig til at betale igen.

Hvorfor løsepengebetalinger inviterer til gentagne angreb

Logikken bag gentagen afpresning er ligetil set fra en kriminel synsvinkel. Når en virksomhed har vist, at den vil betale for at få et problem til at forsvinde, bliver virksomheden en kendt størrelse for angribere og ofte for andre kriminelle grupper, der køber og sælger offerdata på undergrundsfora. At betale en løsesum betyder ikke nødvendigvis, at stjålne data bliver slettet. I mange tilfælde forbliver kopier på angribernes infrastruktur, deles med tilknyttede grupper eller gemmes stille og roligt som løftestang til en ny runde af krav.

Det er den centrale spænding, som Proofpoints data fremhæver: den kortsigtede lettelse ved at betale for at genoprette driften kan skabe en langsigtet forpligtelse. Angribere ved, at en virksomhed, der er under pres for at genoptage forretningen, beskytte kundernes tillid og undgå regulatorisk kontrol, er mere tilbøjelig til at betale igen end at gå væk og acceptere konsekvenserne af et datalæk. Denne beregning er netop det, der nærer gentagen afpresning, og det er grunden til, at sikkerhedsforskere fortsat beskriver løsepengebetaling som en beslutning, der bytter en øjeblikkelig krise ud med en potentielt større, tilbagevendende en. Dækningen af den samme Proofpoint-undersøgelse om gentagne ransomware-angreb bemærkede, at incitamentsstrukturen for angribere kun bliver stærkere, når et offer først har vist sig villig til at betale.

Konsekvenserne for privatlivets fred ud over løsesummen

Mens dækningen af ransomware ofte fokuserer på driftsstop, fortjener privatlivsaspekterne lige så stor opmærksomhed. Når en virksomhed betaler en løsesum for at forhindre dataeksponering, stoler den reelt på, at en kriminel virksomhed overholder et løfte uden juridisk gyldighed. Kunderegistre, medarbejderdata, økonomiske detaljer og sundhedsoplysninger kan forblive eksponerede for videresalg eller lækage uanset betaling. For de personer, hvis data befinder sig i disse kompromitterede systemer, giver en løsepengebetaling ingen reel sikkerhed for, at deres personlige oplysninger er sikre.

Dette er især relevant for organisationer, der håndterer følsomme personoplysninger, hvor et brud kan udløse anmeldelsespligt, reguleringsmæssige bøder og vedvarende skade på omdømmet længe efter, at en eventuel løsesum er betalt. Undersøgelsens resultater understreger, at ransomware ikke bare er en it-hændelse. Det er en privatlivshændelse med konsekvenser, der kan dukke op igen længe efter, at de første overskrifter er forsvundet.

Hvad det betyder for dig

Hvis du driver en virksomhed eller træffer it- og sikkerhedsbeslutninger for en, er konklusionen fra denne undersøgelse klar: at betale en løsesum er ikke en garanteret vej til en løsning, og det kan øge din eksponering for fremtidige angreb. Beslutninger, der træffes i panik under en igangværende hændelse, bør vejes op imod den virkelighed, at angribere ofte beholder stjålne data uanset betaling, og at en synlig villighed til at betale kan gøre en organisation til et gentagent mål.

For almindelige forbrugere er dette en påmindelse om, at databrud knyttet til ransomware-angreb kan have en længere hale, end den indledende nyhedsdækning antyder. Personlige oplysninger, der eksponeres i én hændelse, kan dukke op igen i senere lækager, selv hvis den berørte virksomhed rapporterede situationen som løst.

Vigtigste pointer

• Næsten seks ud af ti adspurgte britiske organisationer betalte en løsesum efter et angreb, ifølge Proofpoints data.
• Omkring 22 procent af dem, der betalte, blev afpresset igen, ofte med brug af de samme stjålne data.
• En lille procentdel af de ofre, der betalte, fik aldrig adgang til deres filer igen.
• Retshåndhævende myndigheder, herunder FBI og Europol, anbefaler fortsat, at man ikke betaler ransomware-krav.
• Virksomheder bør investere i planlægning af hændelsesrespons, offline backups og parathed til brudanmeldelse i stedet for at betragte løsepengebetaling som en hurtig løsning.

Ransomware forbliver en vedvarende trussel, men denne undersøgelse giver vægt til et budskab, som sikkerhedsfolk har fremført i årevis: at betale køber ikke ro i sindet. Organisationer såvel som enkeltpersoner er bedre tjent med forebyggelse, forberedelse og skepsis over for ethvert løfte fremsat af kriminelle aktører, der holder stjålne data som gidsler.