At betale ransomware-hackere garanterer ikke fred

Organisationer, der betaler et ransomware-krav i håb om at få problemet til at forsvinde, bør måske genoverveje den strategi. Ny forskning omtalt af TechRadar viser, at mens 56 % af de ofre, der betalte en løsesum, fik adgang til deres systemer igen, blev mere end en tredjedel, 37 %, ramt af endnu et afpresningskrav kort efter at have overgivet den første betaling. Yderligere 2 % betalte og fik slet aldrig deres data tilbage.

Resultaterne udfordrer en udbredt antagelse om, at betaling af et ransomware-krav er en ligetil transaktion: betal, modtag en dekrypteringsnøgle, kom videre. I stedet tyder dataene på, at angriberne for en betydelig andel af ofrene behandler den første betaling som et indledende træk snarere end en afslutning. Det stemmer overens med, hvad anden nyere forskning har vist. En separat rapport om ransomware fandt, at næsten halvdelen af organisationer betaler og derefter forhandler, hvilket understreger, at ransomware-betalinger sjældent er en ren engangsomkostning.

Hvorfor hackere vender tilbage efter mere

Logikken bag et gentaget afpresningsforsøg er ligetil set fra en angribers perspektiv. Hvis en offerorganisation allerede har demonstreret villighed og evne til at betale, bliver den organisation et mere attraktivt mål for opfølgende krav. Ransomware-grupper ved, at virksomheder under pres for at genoprette driften, beskytte kundedata eller undgå lovgivningsmæssige sanktioner ofte er villige til at betale igen i stedet for at risikere længere nedetid eller offentliggørelse af et brud.

Forskningen fremhæver også en anden krølle i forhandlingsprocessen om løsesum: prisfleksibilitet. Eksperter citeret i rapporten bemærker, at ransomware-operatører ofte sænker deres oprindelige krav, hvor nogle rabatter når helt op på 96 % af den oprindelige pris. Dette er ikke generøsitet. Det afspejler en forhandlingsstrategi, hvor det første tal er bevidst oppustet, og det reelle mål blot er at afpresse en eller anden betaling, enhver betaling, fra offeret. At forstå denne dynamik er vigtig, fordi den viser, at løsesumskrav ikke er faste priser fastsat af et rationelt marked. De er indledende bud i en forhandling designet til at maksimere, hvad en allerede presset organisation er villig til at betale.

Tilsammen tegner de oppustede indledende krav, de stejle rabatter og mønstret med gentagen afpresning et billede af et økosystem bygget op omkring pres snarere end retfærdig udveksling. Når et offer først betaler, har angriberne bevis for, at pres virker, og den datapunkt kan bruges igen, enten mod den samme organisation eller deles inden for kriminelle kredse som bevis på, at et mål er værd at forfølge.

Hvad dette betyder for dig

For privatpersoner, små virksomheder og store virksomheder er konklusionen ikke, at løsesum aldrig bør betales under nogen omstændigheder (det er en beslutning, enhver organisation må afveje baseret på sin egen risikovillighed og juridiske forpligtelser). Derimod er pointen, at betaling aldrig bør behandles som en garanteret løsning. Enhver, der overvejer en løsesumsbetaling, skal planlægge muligheden for, at det ikke bliver det sidste krav, og at datagendannelse ikke er sikret, selv efter at penge har skiftet hænder.

Dette er især relevant for mindre organisationer og privatpersoner, der muligvis ikke har dedikerede beredskabshold. Den samme rapport om ransomware, der viser, at ofre betaler og derefter forhandler igen, understreger, at selv veludrustede virksomheder kæmper for at lukke sagen efter et angreb. Uden professionel beredskabssupport er oddsene for et gunstigt udfald efter betaling ikke nødvendigvis bedre for mindre mål.

Den praktiske konsekvens er, at forebyggelse og forberedelse betyder langt mere end forhandlingsevner efterfølgende. Pålidelige, offline sikkerhedskopier, testede gendannelsesprocedurer og stærk endepunktssikkerhed reducerer det pres, angriberne har i første omgang. Hvis en organisation aldrig behøver at overveje at betale, fordi den kan gendanne fra sikkerhedskopier, bliver hele afpresningscyklussen, herunder risikoen for et nyt krav, irrelevant.

Praktiske tiltag

Nogle få konkrete skridt kan reducere eksponeringen for ransomware og den efterfølgende afpresningscyklus:

  • Vedligehold regelmæssige, testede sikkerhedskopier, der opbevares offline eller i et separat, isoleret miljø, så gendannelse ikke afhænger af angriberens samarbejde.
  • Behandl enhver løsesumsbetaling som en forretningsbeslutning med reel risiko for opfølgende krav, ikke som en garanteret løsning.
  • Inddrag retshåndhævelse og erfarne beredskabsprofessionelle, før der træffes betalingsbeslutninger, da de ofte har indsigt i en angrebsgruppes historik.
  • Invester i grundlæggende sikkerhedshygiejne, herunder patching, multifaktor-godkendelse og netværkssegmentering, for at mindske risikoen for overhovedet at blive offer.

I sidste ende er denne forskning en påmindelse om, at en ransomware-betaling ikke køber afslutning, den køber en chance. Organisationer, der planlægger modstandsdygtighed i stedet for at basere sig på forhandling, er i en langt stærkere position, uanset om de nogensinde står over for et løsesumskrav eller ej.