Όταν ένα σημείωμα λύτρων εμφανίζεται στις οθόνες μιας εταιρείας, το ένστικτο είναι συχνά να το αντιμετωπίζουν ως επείγον περιστατικό πληροφορικής: απομόνωση του δικτύου, κλήση της ομάδας ασφαλείας, εκτίμηση των ζημιών στους διακομιστές. Ωστόσο, ένα διαρκώς αυξανόμενο σύνολο οδηγιών, που πρόσφατα ανέλυσε λεπτομερώς το Cyber Daily στην καταγραφή του για τη λήψη αποφάσεων σε περιπτώσεις κυβερνοεκβιασμού, καθιστά σαφές ότι η πληρωμή ή μη ενός λύτρου είναι πολύ μεγαλύτερη από μια τεχνική επιλογή. Είναι μια νομική, οικονομική και, κυρίως, μια απόφαση που αφορά την ιδιωτικότητα και αγγίζει κάθε πελάτη, εργαζόμενο και συνεργάτη των οποίων τα δεδομένα βρίσκονται μέσα στα παραβιασμένα συστήματα.
Το νομικό ναρκοπέδιο πίσω από μια απόφαση για λύτρα
Μια από τις πιο παραμελημένες πτυχές του κυβερνοεκβιασμού είναι ότι η πληρωμή των εγκληματιών δεν είναι πάντα νομικά απλή. Ανάλογα με το ποιος κρύβεται πίσω από μια επίθεση, μια πληρωμή λύτρων μπορεί να εκθέσει τον οργανισμό που πληρώνει σε κίνδυνο κυρώσεων, ιδιαίτερα όταν ο δράστης ή η υποδομή του συνδέονται με μια οντότητα ή δικαιοδοσία υπό κυρώσεις. Οργανισμοί που σπεύδουν να πληρώσουν χωρίς νομικό έλεγχο μπορεί να βρεθούν αντιμέτωποι με ρυθμιστικό έλεγχο πέρα από την ίδια την παραβίαση. Όπως επισημάνθηκε στην προηγούμενη κάλυψή μας σχετικά με το πώς οι πληρωμές ransomware κινδυνεύουν με κυρώσεις OFAC, η απόφαση να πληρώσει κανείς δεν αφορά μόνο το εάν μια εταιρεία μπορεί να ανταποκριθεί οικονομικά στην απαίτηση. Αφορά το εάν η ίδια η πληρωμή είναι νόμιμη και εάν ο οργανισμός έχει κάνει τη δέουσα επιμέλεια για να το διαπιστώσει.
Αυτός είναι ακριβώς ο λόγος για τον οποίο η αντιμετώπιση του κυβερνοεκβιασμού δεν μπορεί να επαφίεται αποκλειστικά στο τμήμα πληροφορικής. Νομικοί σύμβουλοι, υπεύθυνοι συμμόρφωσης και συχνά οι αρχές επιβολής του νόμου πρέπει να συμμετέχουν στη συζήτηση από την πρώτη δυνατή στιγμή και όχι να καλούνται αφού η πληρωμή έχει ήδη πραγματοποιηθεί.
Γιατί αυτό είναι πρόβλημα ιδιωτικότητας και όχι απλώς πρόβλημα πληροφορικής
Παλαιότερα, το ransomware αφορούσε κυρίως το κλείδωμα αρχείων. Αυτό έχει αλλάξει. Οι σύγχρονες ομάδες εκβιασμού κλέβουν όλο και περισσότερο δεδομένα πριν κρυπτογραφήσουν οτιδήποτε και στη συνέχεια χρησιμοποιούν την απειλή της αποκάλυψης ως μοχλό πίεσης. Αυτή η αλλαγή μετατρέπει κάθε περιστατικό ransomware σε περιστατικό ιδιωτικότητας δεδομένων, ανεξάρτητα από το αν τα συστήματα αποκαθίστανται τελικά.
Έχουμε δει αυτή την εξέλιξη να επιταχύνεται σε πραγματικό χρόνο. Ορισμένες ομάδες έχουν προχωρήσει πέρα από την απειλή του ίδιου του οργανισμού-θύματος και τώρα απειλούν να επικοινωνήσουν με τους ίδιους τους πελάτες μιας εταιρείας, ασκώντας πίεση στοχεύοντας τα άτομα των οποίων τα προσωπικά δεδομένα διακυβεύονται. Αυτή η τακτική αλλάζει εντελώς τον υπολογισμό: ακόμη και μια πλήρης πληρωμή λύτρων δεν εγγυάται ότι τα κλεμμένα δεδομένα πελατών δεν θα διαρρεύσουν, δεν θα πωληθούν ή δεν θα χρησιμοποιηθούν για περαιτέρω εκβιασμό.
Οι οργανισμοί που εξετάζουν μια απαίτηση λύτρων πρέπει να αναρωτηθούν όχι μόνο "μπορούμε να ανακτήσουμε τα συστήματά μας" αλλά "τι συμβαίνει με τα προσωπικά δεδομένα όλων στα συστήματά μας, ανεξάρτητα από το τι θα αποφασίσουμε". Μια πληρωμή λύτρων μπορεί να αγοράσει ένα κλειδί αποκρυπτογράφησης. Δεν διαγράφει το γεγονός ότι ευαίσθητα δεδομένα εκτέθηκαν σε εγκληματίες εξαρχής.
Η πληρωμή δεν εγγυάται ασφάλεια
Ακόμη και όταν οι οργανισμοί πληρώνουν, δεν υπάρχουν αξιόπιστα στοιχεία ότι αυτό τερματίζει το πρόβλημα. Έρευνα της Proofpoint διαπίστωσε ότι ένα σημαντικό ποσοστό εταιρειών που πληρώνουν λύτρα αντιμετωπίζουν επαναλαμβανόμενες απόπειρες εκβιασμού, μερικές φορές από τους ίδιους επιτιθέμενους που επιστρέφουν για μια δεύτερη πληρωμή. Αυτά τα δεδομένα υπονομεύουν μια από τις πιο κοινές δικαιολογίες για την πληρωμή: την πεποίθηση ότι κάνει το πρόβλημα να εξαφανιστεί.
Ορισμένοι οργανισμοί έχουν επιλέξει μια εντελώς διαφορετική πορεία. Η Stadler Rail, ο ελβετικός κατασκευαστής τρένων, αρνήθηκε δημόσια μια απαίτηση λύτρων πολλών εκατομμυρίων δολαρίων αφού οι επιτιθέμενοι έκλεψαν δεδομένα μέσω τρίτου προμηθευτή, ποντάροντας ότι η άρνηση ήταν λιγότερο επικίνδυνη από τη νομιμοποίηση της οικονομίας του εκβιασμού. Εν τω μεταξύ, το τοπίο του ransomware συνεχίζει να αλλάζει· μια πρόσφατη ανασκόπηση του κλάδου που καταγράφει ποιες ομάδες κυριαρχούν στο τρέχον περιβάλλον απειλών δείχνει ότι η πληρωμή μιας συμμορίας δεν μειώνει τον συνολικό κίνδυνο από τις δεκάδες άλλες που παραμένουν ενεργές.
Τι σημαίνει αυτό για εσάς
Είτε διευθύνετε μια μικρή επιχείρηση είτε διαχειρίζεστε την ασφάλεια για μια μεγάλη επιχείρηση, η απόφαση «να πληρώσετε ή όχι» δεν πρέπει ποτέ να λαμβάνεται μεμονωμένα από όποιον διαχειρίζεται τους διακομιστές. Απαιτεί νομικό έλεγχο για κυρώσεις και έκθεση σε ρυθμιστικούς κινδύνους, μια αξιολόγηση ιδιωτικότητας για το ποια ακριβώς δεδομένα προσπελάστηκαν και μια ρεαλιστική κατανόηση ότι η πληρωμή δεν εγγυάται προστασία από μελλοντικούς εκβιασμούς ή διαρροές. Για τους απλούς καταναλωτές, το συμπέρασμα είναι διαφορετικό αλλά σχετικό: η ασφάλεια των προσωπικών σας δεδομένων μετά από μια παραβίαση εξαρτάται σε μεγάλο βαθμό από αποφάσεις που λαμβάνουν εταιρείες με τις οποίες μπορεί να μην αλληλεπιδράτε ποτέ άμεσα, γι' αυτό έχει σημασία να κατανοείτε πώς οι οργανισμοί χειρίζονται τον κυβερνοεκβιασμό ακόμη κι αν δεν είστε εσείς αυτός που αντικρίζει το σημείωμα των λύτρων.
Πρακτικά συμπεράσματα
Οι οργανισμοί θα πρέπει να καταρτίσουν ένα σχέδιο αντιμετώπισης περιστατικών πριν συμβεί μια επίθεση, το οποίο να περιλαμβάνει ρητά νομικούς συμβούλους και αξιολόγηση ιδιωτικότητας παράλληλα με την τεχνική αποκατάσταση. Μην αντιμετωπίζετε ποτέ μια απόφαση για λύτρα ως καθαρά οικονομική· οι κίνδυνοι κυρώσεων και συμμόρφωσης είναι πραγματικοί και μπορούν να επιδεινώσουν την αρχική παραβίαση. Θεωρήστε δεδομένο ότι τυχόν δεδομένα που έχουν αφαιρεθεί μπορεί να έχουν ήδη τεθεί σε κίνδυνο ανεξάρτητα από την πληρωμή και σχεδιάστε ανάλογα τις ειδοποιήσεις προς πελάτες και εργαζομένους. Τέλος, θυμηθείτε ότι η ασφαλέστερη μακροπρόθεσμη στρατηγική κατά του κυβερνοεκβιασμού δεν είναι μια γρήγορη πληρωμή λύτρων, αλλά ισχυρότερες άμυνες που εμποδίζουν εξαρχής την επιτυχία της απόπειρας εκβιασμού.
