Ny forskning fra Singapore leverer en ubehagelig påmindelse til virksomheder, der overvejer at betale et ransomwarekrav: betalingen afslutter ofte ikke prøvelsen. Ifølge rapportering fra Singapore Business Review overgav 50 % af de lokale organisationer, der blev ramt af afpresningsangreb, penge til deres angribere, og en påfaldende andel af de ransomware-ofre, der betalte, stod efterfølgende over for endnu et krav.

Resultatet går imod en almindelig antagelse om, at betaling af en løsesum er en hurtig måde at få et dyrt problem til at forsvinde. For mange organisationer synes det at have den modsatte effekt: det signalerer til kriminelle grupper, at offeret både er villig og i stand til at betale, hvilket gør dem til et oplagt mål for runde to.

Hvad forskningen fandt

Det centrale tal fra undersøgelsen er enkelt men nøgternt. Halvdelen af de adspurgte Singapore-organisationer, der oplevede et ransomware- eller afpresningsangreb, valgte at betale deres angribere. Det er en fifty-fifty-beslutning truffet under enormt pres, ofte med krypterede systemer, standsede operationer og overhængende skade på omdømmet, som alle påvirker udfaldet.

Det, der gør dette datasæt særligt bemærkelsesværdigt, er opfølgningen: en betydelig del af dem, der betalte, fik ikke afslutning. I stedet modtog de endnu et afpresningskrav, hvad enten det kom fra den samme gruppe, der vendte tilbage for mere, eller en relateret aktør, der udnyttede den samme adgang eller lækkede data. Dette mønster er ikke unikt for Singapore. Lignende fund er dukket op andre steder, herunder analyser, der viser, at ransomwarebander afpresser 22 % af ofre, der allerede har betalt, igen, og separat forskning fra New Zealand fandt, at cirka 1 ud af 5 løsesumsbetalinger blev forrådt af angribere, der vendte tilbage for mere på trods af at have modtaget betaling.

Sammen tegner disse datapunkter et konsistent billede på tværs af forskellige markeder: at betale en løsesum køber ikke pålideligt sikkerhed, og i et meningsfuldt antal tilfælde kan det øge chancerne for at blive målrettet igen.

Hvorfor angribere vender tilbage efter mere

Den adfærdsmæssige logik her er ligetil, når du overvejer det fra den kriminelles perspektiv. Et offer, der allerede har betalt, har demonstreret tre ting, der er værdifulde for en afpresser: de har penge til rådighed, de har besluttet, at betaling er at foretrække frem for alternativet, og de mangler muligvis de tekniske forsvar til at forhindre en gentagen indtrængen.

Ransomware-operationer ligner i stigende grad virksomheder med deres egne interne målinger. En betalende kunde er, sagt ligeud, et bekræftet emne. Nogle grupper opererer også som datterselskaber eller franchisetagere, hvilket betyder, at et offers data eller netværksadgang kan videresælges eller genbruges af en helt anden kriminel organisation, hvilket resulterer i et nyt krav, der intet har med gruppen bag det første angreb at gøre. Uanset hvad, står offeret tilbage med risikoen to gange.

Denne dynamik er præcis grunden til, at cybersikkerhedsagenturer og forskere længe har advaret mod at behandle løsesumsbetaling som en løsning snarere end en midlertidig og upålidelig lappeløsning.

Ud over løsesumsbetalinger: Opbygning af reelle forsvar

Hvis betaling ikke er en garanteret løsning, hvor bør organisationer og enkeltpersoner så i stedet lægge deres energi? Svaret ligger i at reducere chancerne for et vellykket angreb i første omgang og begrænse skaden, når et angreb finder sted.

Det starter med det grundlæggende: vedligeholdelse af offline, testede sikkerhedskopier, så krypterede data kan gendannes uden at forhandle med angribere. Det indebærer også at stramme kontrollen med fjernadgang, da kompromitterede legitimationsoplysninger og blotlagte fjernskrivebordsprotokoller fortsat er almindelige indgangsveje for ransomware-grupper. Kryptering af følsom trafik og brug af sikre, velkonfigurerede VPN-forbindelser til fjern- og hybridarbejde kan reducere den angrebsflade, som kriminelle er afhængige af for at få et indledende fodfæste. Medarbejdertræning i at opdage phishing-forsøg, som fortsat er en førende leveringsmetode for ransomware-nyttelaster, afrunder en lagdelt forsvarsstrategi, der ikke afhænger af at håbe på, at angribere holder deres ord.

Hvad dette betyder for dig

Især for små og mellemstore virksomheder bør denne forskning ændre planlægningen af beredskabsindsatser. Hvis din organisation nogensinde rammes af ransomware, bør beslutningen om at betale ikke behandles som en ren exit-strategi. Budgettér og planlæg, som om betaling kun kan købe midlertidig lettelse, ikke permanent løsning. Det betyder at have en dokumenteret beredskabsplan, juridiske og regulatoriske retningslinjer klar på forhånd og en klar forståelse af, at betaling kan invitere til yderligere målretning snarere end at afslutte den.

For enkeltpersoner og fjernarbejdere er budskabet mere personligt: de svage punkter, angribere udnytter, fra upatchet software til usikrede forbindelser, kan ofte forebygges med basal hygiejne snarere end dyre værktøjer.

Nøglepunkter

  • Halvdelen af Singapore-organisationer, der blev ramt af afpresningsangreb, betalte deres angribere, ifølge den nye forskning.
  • En bemærkelsesværdig andel af ransomware-ofre, der betalte, modtog stadig endnu et afpresningskrav, hvilket gentager lignende resultater globalt.
  • Betaling bør behandles som en sidste udvej og ikke en garanteret løsning på et aktivt angreb.
  • Stærke sikkerhedskopier, sikker fjernadgang og phishing-bevidsthed reducerer chancerne for nogensinde at stå over for den beslutning.
  • Organisationer bør planlægge beredskabsindsatser under antagelse af, at angribere kan vende tilbage, snarere end at antage, at betaling afslutter truslen.

I sidste ende er forskningen en opfordring til at flytte fokus fra reaktive betalingsbeslutninger til proaktiv forebyggelse. De virksomheder, der er bedst rustet til at modstå et ransomware-angreb, er dem, der aldrig behøver at beslutte, om betaling er risikoen værd.