Når en løsesumsnote dukker op på en virksomheds skærme, er instinktet ofte at behandle det som en it-nødsituation: isolér netværket, tilkald sikkerhedsteamet, vurder skaderne på serverne. Men en voksende mængde vejledning, senest detaljeret af Cyber Daily i deres gennemgang af beslutningstagning ved cyberafpresning, gør det klart, at det at betale eller afvise en løsesum er langt større end et teknisk valg. Det er en juridisk, finansiel og frem for alt en privatlivsbeslutning, der berører enhver kunde, medarbejder og partner, hvis data befinder sig i de kompromitterede systemer.

Den juridiske minefelt bag en løsesumsbeslutning

Et af de mest oversete aspekter ved cyberafpresning er, at det ikke altid er juridisk ligetil at betale de kriminelle. Afhængigt af hvem der står bag angrebet, kan en løsesumsbetaling udsætte den betalende organisation for sanktionsrisiko, især hvis trusselsaktøren eller deres infrastruktur er knyttet til en sanktioneret enhed eller jurisdiktion. Organisationer, der skynder sig at betale uden juridisk gennemgang, kan risikere regulatorisk kontrol oven i selve bruddet. Som beskrevet i vores tidligere dækning af, hvordan løsesumsbetalinger risikerer OFAC-sanktioner, handler beslutningen om at betale ikke kun om, hvorvidt en virksomhed har råd til kravet. Det handler om, hvorvidt selve betalingen er lovlig, og om organisationen har udført sin due diligence for at finde ud af det.

Det er netop derfor, at cyberafpresningsberedskab ikke kan ligge alene hos en it-afdeling. Juridisk rådgivning, compliance-medarbejdere og ofte retshåndhævelse skal være en del af samtalen fra det tidligst mulige tidspunkt, ikke inddrages efter en betaling allerede er overført.

Hvorfor dette er et privatlivsproblem, ikke kun et it-problem

Ransomware plejede primært at handle om at låse filer. Det har ændret sig. Moderne afpresningsgrupper stjæler i stigende grad data, før de krypterer noget, og bruger derefter truslen om offentliggørelse som løftestang. Det skift gør enhver ransomware-hændelse til en databeskyttelseshændelse, uanset om systemer i sidste ende gendannes.

Vi har set denne udvikling accelerere i realtid. Nogle grupper er gået videre end at true offerorganisationen direkte og truer nu med at kontakte en virksomheds egne kunder ved at lægge pres ved at ramme de mennesker, hvis personlige oplysninger faktisk er på spil. Den taktik ændrer beregningen fuldstændigt: Selv en fuld løsesumsbetaling garanterer ikke, at stjålne kundedata ikke bliver lækket, solgt eller brugt til yderligere afpresning.

Organisationer, der overvejer et løsesumskrav, skal ikke kun spørge "kan vi gendanne vores systemer", men "hvad sker der med persondata for alle i vores systemer, uanset hvad vi beslutter." En løsesumsbetaling kan købe en dekrypteringsnøgle. Den sletter ikke det faktum, at følsomme data blev eksponeret for kriminelle i første omgang.

At betale garanterer ikke sikkerhed

Selv når organisationer betaler, er der ingen pålidelig dokumentation for, at det afslutter problemet. Forskning fra Proofpoint fandt, at en betydelig andel af virksomheder, der betaler en løsesum, udsættes for gentagne afpresningsforsøg, nogle gange fra de samme angribere, der vender tilbage for en ny udbetaling. Disse data undergraver en af de mest almindelige begrundelser for at betale: troen på, at det får problemet til at forsvinde.

Nogle organisationer har valgt en helt anden vej. Stadler Rail, den schweiziske togproducent, afviste offentligt et millionløsesumskrav, efter at angribere havde stjålet data gennem en tredjepartsleverandør, og satsede på, at afvisning var mindre risikabel end at legitimere afpresningsøkonomien. I mellemtiden ændrer ransomware-landskabet sig konstant; en nylig brancheoverblik, der sporer hvilke grupper der dominerer den aktuelle trusselsituation, viser, at betaling til én bande ikke reducerer den samlede risiko fra de snesevis af andre, der stadig er aktive.

Hvad dette betyder for dig

Uanset om du driver en lille virksomhed eller administrerer sikkerhed for en stor koncern, bør betal-eller-afvis-beslutningen aldrig træffes isoleret af den, der administrerer serverne. Den kræver juridisk gennemgang for sanktions- og reguleringseksponering, en privatlivsvurdering af præcis hvilke data der blev tilgået, og en realistisk forståelse af, at betaling ikke giver nogen garanti mod fremtidig afpresning eller læk. For almindelige forbrugere er konklusionen en anden, men beslægtet: Sikkerheden for dine persondata efter et brud afhænger i høj grad af beslutninger truffet af virksomheder, du måske aldrig interagerer direkte med, hvilket er grunden til, at det er vigtigt at forstå, hvordan organisationer håndterer cyberafpresning, selvom det ikke er dig, der står med løsesumsnoten.

Handlingsorienterede konklusioner

Organisationer bør opbygge en beredskabsplan, før et angreb sker, en plan der eksplicit inkluderer juridisk rådgivning og privatlivsvurdering sammen med teknisk udbedring. Behandl aldrig en løsesumsbeslutning som rent finansiel; sanktions- og compliancerisici er reelle og kan forværre det oprindelige brud. Antag, at alle eksfiltrerede data allerede kan være kompromitteret uanset betaling, og planlæg kunde- og medarbejdernotifikationer i overensstemmelse hermed. Husk endelig, at den sikreste langsigtede strategi mod cyberafpresning ikke er en hurtig løsesumsbetaling, men stærkere forsvar, der forhindrer afpresningsforsøget i at lykkes i første omgang.