Næsten halvdelen betaler stadig, men de prutter om prisen først

En ny rapport, der cirkulerer, tegner et velkendt men ubehageligt billede: næsten halvdelen af organisationer, der rammes af ransomware-kryptering, ender med at betale løsesummen. Det overraskende er, at omkring halvdelen af disse ofre ikke bare afleverer det fulde beløb, der kræves. I stedet forhandler de og får ofte angriberne til at acceptere mindre end det oprindelige krav, før de låser de krypterede filer op.

På overfladen kan det lyde som en lille sejr for ofrene. At få en kriminel gruppe til at sænke prisen føles som en mindre triumf i en ellers dårlig situation. Men den større historie her handler ikke om, hvem der er bedst til at prutte. Det handler om, hvad det betyder, at betaling af løsesum og forhandling med kriminelle er blevet en normaliseret del af, hvordan organisationer reagerer på cyberangreb.

Hvorfor virksomheder betaler i stedet for at lade være

Ransomware fungerer ved at kryptere en organisations filer og systemer, så de bliver ubrugelige, indtil en dekrypteringsnøgle leveres – typisk mod betaling. For virksomheder uden solide backups eller under pres for hurtigt at genoprette driften kan betaling føles som den hurtigste vej tilbage til normalen. Den beregning bliver endnu lettere at retfærdiggøre, når angriberen er villig til at gå ned i pris, hvilket rapporten antyder sker ofte.

Denne forhandlingsdynamik er ikke ny i ransomware-økonomien. Mange ransomware-operationer drives i dag som forretninger med supportchat, betalingsportaler og ja – plads til forhandling. Den professionalisering er en del af grunden til, at betaling er blevet et så almindeligt resultat snarere end en sidste udvej.

Men betaling garanterer ikke en ren afslutning. Selv når en løsesum er betalt, og en dekrypteringsnøgle udleveres, er der ingen garanti for, at angriberne ikke allerede har kopieret følsomme data før krypteringen. Det er en kritisk detalje, der ofte går tabt i samtaler om løsesumforhandlinger: betaling handler normalt om at genskabe adgang til filer, ikke om at annullere et brud, der måske allerede har fundet sted.

Privatlivsrisikoen, der gemmer sig bag hver eneste betaling af løsesum

Det er her, historien hænger sammen med et meget større privatlivsproblem. Ransomware-angreb indebærer i stigende grad datatyveri sideløbende med kryptering, hvilket betyder, at angriberne eksfiltrerer kopier af følsomme filer, før de låser originalerne. Relateret rapportering har vist, at 49 % af ransomware-ofre mister data, før de opdager angrebet, hvilket betyder, at når et krav om løsesum overhovedet ankommer, er skaden på personlige og organisatoriske data muligvis allerede sket.

Den detalje er enormt vigtig for alle, hvis personlige oplysninger befinder sig i en organisations systemer – uanset om det er en arbejdsgiver, en sundhedsudbyder, en skole eller en onlinebutik. En vellykket forhandling om løsesummens størrelse fjerner ikke et datatyveri, der allerede har fundet sted. Det forhindrer heller ikke angriberne i senere at sælge eller lække disse data, uanset om løsesummen blev betalt fuldt ud, forhandlet ned eller afvist helt.

At betale en løsesum – selv en reduceret én – risikerer desuden at styrke selve forretningsmodellen. Hver vellykket betaling, forhandlet eller ej, signalerer til angriberne, at ransomware forbliver indbringende, hvilket fastholder incitamentsstrukturen for fremtidige angreb mod andre organisationer.

Hvad det betyder for dig

De fleste, der læser statistikker om ransomware-betalinger, er ikke dem, der beslutter, om der skal betales. Den beslutning ligger normalt hos it-ledelsen, virksomhedsledere eller beredskabsteams. Men konsekvenserne bølger udad til medarbejdere, kunder og alle, hvis data findes i de berørte systemer.

Hvis du modtager en notifikation om databrud fra en virksomhed, der har oplevet et ransomware-angreb, så tag det alvorligt, uanset om nyheden nævner, at der er betalt en løsesum. Datatyveri kan finde sted, før krypteringen overhovedet begynder, så en betalt løsesum og et genskabt system betyder ikke nødvendigvis, at dine oplysninger er i sikkerhed. Hold øje med tegn på identitetstyveri, overvåg dine konti, og overvej kreditovervågning, hvis organisationen tilbyder det efter en hændelse.

For virksomheder og it-teams er forhandlingstendensen en påmindelse om, at beredskabsplanlægning skal tage højde for dataeksponering – ikke kun systemnedbrud. Backups hjælper dig med at undgå at betale for en dekrypteringsnøgle, men de forhindrer ikke, at stjålne data lækkes eller sælges, hvis angriberne allerede har eksfiltreret dem på forhånd.

Praktiske pointer

  • Antag ikke, at en betalt løsesum betyder, at dine data aldrig blev kopieret eller eksponeret; spørg direkte de berørte organisationer, hvad der bekræftet er stjålet.
  • Overvåg konti og kreditaktivitet efter enhver meddelelse om databrud, selvom virksomheden siger, at løsesumssituationen er løst.
  • Hvis du driver en virksomhed, så prioriter tidlig opdagelse og netværkssegmentering, så angriberne har mindre tid til at eksfiltrere data, før krypteringen rammer.
  • Forstå, at forhandling om løsesum sænker omkostningerne, ikke risikoen; eksponeringen af stjålne data forbliver en separat og varig trussel.

Tendenserne inden for ransomware-betaling vil sandsynligvis fortsat skabe overskrifter, i takt med at flere organisationer vejer omkostningerne ved at betale op imod genopbygningsomkostningerne. Men for almindelige brugere er den egentlige pointe ikke forhandlingstaktikker. Det handler om at være opmærksom på, hvad der sker med dine data længe efter, at overskrifterne om en løsesumbetaling er forstummet.