En ny brancheundersøgelse tilføjer hårde data til en advarsel, som sikkerhedsprofessionelle har gentaget i årevis: At betale en ransomware-bande løser sjældent problemet og gør det ofte værre. Ifølge rapportering om resultaterne står organisationer, der betaler en løsesum, over for en markant højere risiko for at blive ramt igen, nogle gange af de samme angribere, inden for et relativt kort tidsrum bagefter.
Undersøgelsen føjer til en voksende mængde dokumentation for, at betaling af løsesum ikke fungerer som en ren transaktion. I stedet kan det signalere til kriminelle grupper, at et mål både er villig og i stand til at betale, hvilket gør organisationen til et mere attraktivt fremtidigt mål snarere end en afsluttet sag.
Hvad undersøgelsen fandt
Forskningen fremhævet i rapporteringen peger på et bekymrende mønster: En betydelig andel af organisationer, der betalte en løsesum, blev efterfølgende afpresset igen, enten gennem fornyede trusler fra den oprindelige angriber eller gennem et opfølgende angreb fra en anden gruppe. Denne cyklus af gentagen afpresning undergraver den grundlæggende logik, der ofte driver beslutninger om betaling i første omgang – idéen om, at betaling hurtigt løser en hændelse og begrænser yderligere skade.
I stedet tyder dataene på, at det modsatte kan ske. Angribere kan beholde kopier af stjålne data, selv efter at en løsesum er betalt, og nogle ofre har rapporteret at være blevet kontaktet igen med nye krav knyttet til de samme stjålne filer. Andre er blevet ramt af helt nye indtrængninger, hvilket tyder på, at betaling kan stemple en organisation som et let bytte i kriminelle netværk, der deler efterretninger om, hvilke ofre der tidligere har betalt.
Hvorfor betaling ikke garanterer genoprettelse
Statslige myndigheder og internationale koalitioner har gentagne gange frarådet betaling af løsesum med argumentet, at betaling ikke garanterer gendannelse af data, ikke garanterer sletning af stjålne oplysninger og direkte finansierer det kriminelle økosystem bag fremtidige angreb. De seneste undersøgelsesdata forstærker denne holdning med konkrete tal snarere end blot politisk vejledning.
Dette skaber en svær knibe for organisationer, der står over for en aktiv ransomware-hændelse. Driftsmæssigt pres, især i sektorer som sundhed, logistik eller finansielle tjenester, kan få ledelsen til at hælde mod betaling, blot for at genoprette systemer og begrænse forretningsafbrydelser. Men undersøgelsens resultater antyder, at kortsigtet lettelse kan komme på bekostning af langsigtet risiko, eftersom betaling hverken fjerner stjålne data fra cirkulation eller forhindrer et nyt angreb.
De bredere privatlivsmæssige konsekvenser er betydelige. Ransomware-hændelser indebærer i stigende grad datatyveri sideløbende med kryptering, hvilket betyder, at offerorganisationer – og dermed deres kunder eller patienter – står over for eksponering uanset om der betales en løsesum. Personoplysninger, der tages under et angreb, kan sælges, lækkes eller holdes tilbage til en ny runde afpresning, selv efter betaling, hvilket giver de berørte personer ringe indsigt i, hvad der skete med deres oplysninger. Dette er en del af en bredere tendens, hvor organisationer og regeringer kæmper med, hvordan personoplysninger indsamles, opbevares og eksponeres – en bekymring, der genlyder debatter set på andre politikområder, såsom granskningen af nye amerikanske visumpolitikkrav om offentlige profiler på sociale medier, hvor personlige oplysninger bliver genstand for nye former for adgang og risiko.
Hvad det betyder for dig
For den enkelte forbruger kan den direkte konsekvens af en beslutning om at betale løsesum synes fjern, men det er den ikke. Mange ransomware-angreb rammer organisationer, der ligger inde med personoplysninger: hospitaler, skoler, detailhandlere og tjenesteudbydere. Uanset om der betales løsesum eller ej, er eksponeringen af navne, adresser, finansielle oplysninger eller helbredsjournaler ofte allerede i gang, når angribere har eksfiltreret data. At betale en løsesum beskytter ikke nødvendigvis disse oplysninger mod at dukke op igen senere, hvad enten det sker gennem et læk, videresalg eller et nyt afpresningsforsøg mod den samme organisation.
For virksomheder og it-beslutningstagere understreger undersøgelsens resultater, at en betaling af løsesum ikke bør behandles som en garanteret løsning. Genopretningsplanlægning, hændelsesrespons og kommunikation med tilsynsmyndigheder og berørte kunder betyder lige så meget, hvis ikke mere, end selve betalingsbeslutningen.
Opbygning af en stærkere responsstrategi
Det gennemgående budskab fra sikkerhedsforskere, statslige myndigheder og nu disse undersøgelsesdata er, at forebyggelse og forberedelse opvejer reaktiv betaling. Det betyder at vedligeholde offline-sikkerhedskopier, teste beredskabsplaner for hændelseshåndtering, inden et angreb sker, og have en klar protokol for tidlig inddragelse af retshåndhævende myndigheder i stedet for at behandle betaling som det automatiske første skridt.
For almindelige læsere er den praktiske pointe at være opmærksom på underretninger om databrud fra enhver organisation, du har med at gøre, eftersom konsekvenserne af ransomware kan påvirke dig, selvom du aldrig ser overskrifterne. Overvej at bruge stærke, unikke adgangskoder på tværs af konti, aktivere flerfaktorgodkendelse, hvor det er muligt, og overvåge finansielle og sundhedsrelaterede konti for usædvanlig aktivitet efter enhver rapporteret hændelse.
Ransomware forsvinder ikke, og debatten om, hvorvidt man bør betale, vil fortsætte. Men den voksende dokumentation for, at betaling ofte indbyder til gentagen afpresning, bør få både organisationer og enkeltpersoner til at indtage en mere skeptisk, forberedelsesorienteret tilgang frem for at behandle betaling af løsesum som en hurtig løsning.
