Όταν το ransomware γίνεται πρόβλημα των πελατών

Το ransomware ήταν πάντα ένας τεχνικός πονοκέφαλος, αλλά έχει εξελιχθεί αθόρυβα σε κάτι πολύ μεγαλύτερο: μια άμεση απειλή για την ιδιωτικότητα των πελατών και τα εταιρικά οικονομικά ταυτόχρονα. Σύμφωνα με νέες αναφορές για τακτικές δικτυακού εκβιασμού, οι επιτιθέμενοι είναι όλο και πιο πρόθυμοι να επικοινωνήσουν με τους πελάτες του οργανισμού-θύματος εάν η απαίτηση λύτρων δεν πληρωθεί εντός αυστηρής προθεσμίας. Αυτή η λεπτομέρεια αλλάζει τα δεδομένα για κάθε επιχείρηση που διατηρεί δεδομένα πελατών, διότι οι επιπτώσεις δεν περιορίζονται πλέον στα τμήματα πληροφορικής και στις ομάδες αντιμετώπισης περιστατικών. Διαχέονται άμεσα στην εμπιστοσύνη των πελατών, στην έκθεση σε ρυθμιστικούς κινδύνους και στο τελικό οικονομικό αποτέλεσμα.

Αυτή η τακτική, που μερικές φορές ονομάζεται διπλός ή πολλαπλός εκβιασμός, λειτουργεί συνδυάζοντας την κλοπή δεδομένων με την απειλή δημόσιας έκθεσης. Οι επιτιθέμενοι δεν κρυπτογραφούν απλώς τα αρχεία πλέον· πρώτα αφαιρούν ευαίσθητα αρχεία και στη συνέχεια χρησιμοποιούν την απειλή διαρροής ή διανομής αυτών των δεδομένων (σε δημοσιογράφους, ρυθμιστικές αρχές ή πλέον στους ίδιους τους πελάτες) ως πρόσθετη πίεση. Για τα θύματα, αυτό σημαίνει ότι η απόφαση να πληρώσουν ή όχι τα λύτρα δεν είναι πλέον καθαρά τεχνική ή οικονομική. Είναι μια απόφαση που μπορεί να συνεπάγεται την ενημέρωση ή τη μη ενημέρωση των ίδιων των ανθρώπων των οποίων τα δεδομένα κινδυνεύουν.

Γιατί οι τυπικές ασφαλιστικές πολιτικές υστερούν

Ένα από τα πιο σημαντικά σημεία που επισημαίνονται στις αναφορές είναι ότι οι τυπικές πολιτικές αστικής ευθύνης και περιουσίας, ακόμη και οι βασικές μορφές ασφάλισης κυβερνοχώρου, συχνά αφήνουν τους οργανισμούς εκτεθειμένους όταν συμβαίνει αυτού του είδους το περιστατικό εκβιασμού. Οι παραδοσιακές πολιτικές είχαν διαμορφωθεί με βάση μια στενότερη κατανόηση του κυβερνοκινδύνου, εστιάζοντας συχνά στη διακοπή εργασιών ή στο κόστος αποκατάστασης δεδομένων. Δεν σχεδιάστηκαν για έναν κόσμο όπου οι επιτιθέμενοι οπλοποιούν τις απειλές ειδοποίησης πελατών ως τακτική πίεσης.

Αυτό το κενό έχει σημασία, διότι το πραγματικό κόστος ενός περιστατικού δικτυακού εκβιασμού υπερβαίνει κατά πολύ τα ίδια τα λύτρα. Νομικές αμοιβές, ρυθμιστικά πρόστιμα, διεξαγωγή ψηφιακής έρευνας, παρακολούθηση πιστωτικών αρχείων για τους επηρεαζόμενους πελάτες και ζημία στη φήμη μπορούν όλα να συσσωρευτούν γρήγορα, και πολλά από αυτά τα κόστη δεν καλύπτονται αυτόματα από μια γενική πολιτική κυβερνοχώρου. Οργανισμοί που υποθέτουν ότι προστατεύονται επειδή διαθέτουν «κάποιου είδους» κάλυψη κυβερνοχώρου μπορεί να ανακαλύψουν, μόνο μετά από ένα περιστατικό, ότι η πολιτική τους έχει σημαντικά κενά όσον αφορά σενάρια εκβιασμού, ειδικά εκείνα που περιλαμβάνουν απειλές ειδοποίησης τρίτων.

Μέρος αυτού που καθιστά αυτές τις καταστάσεις τόσο δύσκολες στη διαχείριση είναι ο ανθρώπινος παράγοντας πίσω από την ίδια τη διαπραγμάτευση των λύτρων. Το διακύβευμα της λανθασμένης διαχείρισης αυτής της διαδικασίας φαίνεται σε περιπτώσεις όπως η καταδίκη ενός διαπραγματευτή ransomware που συνδέεται με την BlackCat, μια υπενθύμιση ότι τα άτομα που μεσολαβούν σε αυτές τις συμφωνίες λειτουργούν σε ένα νομικά ασαφές περιβάλλον και ότι τα λάθη κατά τη διαπραγμάτευση μπορούν να έχουν συνέπειες πολύ πέρα από την άμεση οικονομική ζημία.

Ο κλιμακούμενος οικονομικός αντίκτυπος που δεν μπορούν να αγνοήσουν οι οικονομικοί διευθυντές

Για τους οικονομικούς διευθυντές και τους υπεύθυνους διαχείρισης κινδύνων, η πρόκληση είναι ότι ένα μόνο περιστατικό δικτυακού εκβιασμού πυροδοτεί μια αλυσιδωτή αντίδραση κόστους που σπάνια εμφανίζεται στις αρχικές εκτιμήσεις ζημιών. Υπάρχει η άμεση λειτουργική διαταραχή, ακολουθούμενη από νομικές υποχρεώσεις και υποχρεώσεις συμμόρφωσης που συνδέονται με τυχόν εκτεθειμένα προσωπικά δεδομένα, και στη συνέχεια το κόστος φήμης από το γεγονός ότι οι πελάτες μαθαίνουν ότι οι πληροφορίες τους παραβιάστηκαν, μερικές φορές απευθείας από τους επιτιθέμενους αντί για την ίδια την εταιρεία.

Αυτό το τελευταίο σημείο αξίζει ιδιαίτερης προσοχής. Όταν οι επιτιθέμενοι παρακάμπτουν εντελώς την εταιρεία και επικοινωνούν με τους πελάτες, αφαιρούν από τον οργανισμό τον έλεγχο της δικής του επικοινωνίας κρίσης. Αντί η εταιρεία να ελέγχει την αφήγηση μέσω μιας προσεκτικής, νομικά ελεγμένης διαδικασίας ειδοποίησης, οι πελάτες μπορεί να μάθουν πρώτα για την παραβίαση από ένα απειλητικό μήνυμα που στέλνεται από εγκληματίες. Αυτή η δυναμική ενισχύει τη ζημία στη φήμη και μπορεί να επιταχύνει την απώλεια πελατών, τον ρυθμιστικό έλεγχο, ακόμη και τις δικαστικές διαμάχες, όλα τα οποία πλήττουν τον ισολογισμό πολύ μετά το πέρας της αρχικής προθεσμίας των λύτρων.

Τι σημαίνει αυτό για εσάς

Είτε διαχειρίζεστε μια μικρή επιχείρηση είτε τον εταιρικό κίνδυνο σε έναν μεγαλύτερο οργανισμό, το κύριο συμπέρασμα είναι ότι ο εκβιασμός μέσω ransomware δεν είναι πλέον πρόβλημα του τμήματος πληροφορικής στο παρασκήνιο. Είναι ένας κίνδυνος που αφορά άμεσα τους πελάτες. Εάν ο οργανισμός σας διατηρεί προσωπικά δεδομένα, είτε πρόκειται για στοιχεία πληρωμών, ιατρικά αρχεία ή βασικά στοιχεία επικοινωνίας, θα πρέπει να υποθέσετε ότι ένα μελλοντικό περιστατικό ransomware θα μπορούσε να περιλαμβάνει άμεση επικοινωνία με τα άτομα σε αυτή τη βάση δεδομένων. Αυτή η πιθανότητα θα πρέπει να διαμορφώσει τον τρόπο με τον οποίο σκέφτεστε για τον σχεδιασμό αντιμετώπισης περιστατικών, τα πρωτόκολλα επικοινωνίας και την ασφαλιστική κάλυψη.

Για τους απλούς καταναλωτές, αυτή η τάση είναι μια χρήσιμη υπενθύμιση να παραμένουν σε επαγρύπνηση. Εάν λάβετε ποτέ ένα απροσδόκητο μήνυμα που ισχυρίζεται ότι τα δεδομένα σας κλάπηκαν από μια εταιρεία με την οποία συνεργάζεστε, επαληθεύστε το μέσω επίσημων καναλιών πριν απαντήσετε και λάβετε υπόψη ότι οι νόμιμες ειδοποιήσεις παραβίασης σπάνια συνοδεύονται από επίκληση κατεπείγουσας ανάγκης ή απειλές τύπου λύτρων.

Ενέργειες που πρέπει να γίνουν

Οι οργανισμοί θα πρέπει να ελέγξουν τις ασφαλιστικές πολιτικές κυβερνοχώρου ειδικά για σενάρια εκβιασμού και ειδοποίησης τρίτων και όχι μόνο για γενική κάλυψη αποκατάστασης δεδομένων. Δημιουργήστε ένα σχέδιο επικοινωνίας που να υποθέτει ότι οι επιτιθέμενοι μπορεί να προσπαθήσουν να επικοινωνήσουν απευθείας με τους πελάτες, ώστε ο οργανισμός σας να μπορεί να ανταποκριθεί γρήγορα και με διαφάνεια αντί αντιδραστικά. Τέλος, αντιμετωπίστε την ετοιμότητα για ransomware ως διαλειτουργικό ζήτημα που εμπλέκει τις ομάδες οικονομικών, νομικών και επικοινωνίας και όχι αποκλειστικά την πληροφορική, καθώς το πραγματικό κόστος του δικτυακού εκβιασμού εκτείνεται πολύ πέρα από την ίδια την απαίτηση λύτρων.