Η πληρωμή των χάκερ ransomware δεν εγγυάται ειρήνη

Οι οργανισμοί που πληρώνουν μια απαίτηση ransomware ελπίζοντας ότι το πρόβλημα θα εξαφανιστεί, ίσως χρειαστεί να αναθεωρήσουν αυτή τη στρατηγική. Νέα έρευνα που καλύφθηκε από το TechRadar διαπίστωσε ότι ενώ το 56% των θυμάτων που πλήρωσαν λύτρα ανέκτησαν την πρόσβαση στα συστήματά τους, περισσότερο από το ένα τρίτο, 37%, δέχθηκαν μια δεύτερη απαίτηση εκβιασμού σύντομα μετά την παράδοση της πρώτης πληρωμής. Ένα άλλο 2% πλήρωσε και δεν ανέκτησε ποτέ τα δεδομένα του.

Τα ευρήματα αμφισβητούν μια κοινή παραδοχή ότι η πληρωμή μιας απαίτησης ransomware είναι μια απλή συναλλαγή: πληρώνεις, παίρνεις το κλειδί αποκρυπτογράφησης, προχωράς. Αντ' αυτού, τα δεδομένα υποδεικνύουν ότι για ένα σημαντικό ποσοστό θυμάτων, η πρώτη πληρωμή αντιμετωπίζεται από τους επιτιθέμενους ως εναρκτήρια κίνηση και όχι ως επίλυση. Αυτό συνάδει με όσα έχουν δείξει άλλες πρόσφατες έρευνες. Μια ξεχωριστή αναφορά για ransomware διαπίστωσε ότι σχεδόν οι μισοί οργανισμοί πληρώνουν και έπειτα διαπραγματεύονται, ενισχύοντας την ιδέα ότι οι πληρωμές ransomware σπάνια αποτελούν ένα απλό, μοναδικό κόστος.

Γιατί οι χάκερ επιστρέφουν για περισσότερα

Η λογική πίσω από μια επαναλαμβανόμενη απόπειρα εκβιασμού είναι ευθεία από τη σκοπιά του επιτιθέμενου. Αν ένας οργανισμός-θύμα έχει ήδη αποδείξει προθυμία και ικανότητα να πληρώσει, ο οργανισμός αυτός γίνεται πιο ελκυστικός στόχος για μεταγενέστερες απαιτήσεις. Οι ομάδες ransomware γνωρίζουν ότι οι εταιρείες που υφίστανται πίεση για την αποκατάσταση της λειτουργίας τους, την προστασία των δεδομένων των πελατών ή την αποφυγή ρυθμιστικών προστίμων, συχνά είναι πρόθυμες να πληρώσουν ξανά αντί να ρισκάρουν παρατεταμένο χρόνο αδράνειας ή δημόσια αποκάλυψη της παραβίασης.

Η έρευνα αναδεικνύει επίσης μια άλλη πτυχή της διαδικασίας διαπραγμάτευσης των λύτρων: την ευελιξία των τιμών. Ειδικοί που αναφέρονται στην αναφορά σημειώνουν ότι οι χειριστές ransomware συχνά μειώνουν την αρχική τους απαίτηση, με κάποιες εκπτώσεις να φτάνουν έως και 96% από την αρχική ζητούμενη τιμή. Αυτό δεν είναι γενναιοδωρία. Αντικατοπτρίζει μια στρατηγική διαπραγμάτευσης όπου ο αρχικός αριθμός είναι σκόπιμα διογκωμένος και ο πραγματικός στόχος είναι απλώς να αποσπαστεί κάποια πληρωμή, οποιαδήποτε πληρωμή, από το θύμα. Η κατανόηση αυτής της δυναμικής είναι σημαντική γιατί δείχνει ότι οι απαιτήσεις λύτρων δεν είναι σταθερές τιμές που καθορίζονται από μια ορθολογική αγορά. Είναι αρχικές προσφορές σε μια διαπραγμάτευση που έχει σχεδιαστεί για να μεγιστοποιήσει αυτό που ένας ήδη πιεσμένος οργανισμός είναι πρόθυμος να πληρώσει.

Συνολικά, οι διογκωμένες αρχικές απαιτήσεις, οι μεγάλες εκπτώσεις και το μοτίβο του επαναλαμβανόμενου εκβιασμού συνθέτουν μια εικόνα ενός οικοσυστήματος που βασίζεται στη μόχλευση αντί για δίκαιη ανταλλαγή. Μόλις ένα θύμα πληρώσει, οι επιτιθέμενοι έχουν την απόδειξη ότι η πίεση αποδίδει, και αυτό το δεδομένο μπορεί να χρησιμοποιηθεί ξανά, είτε εναντίον του ίδιου οργανισμού είτε να κοινοποιηθεί σε εγκληματικούς κύκλους ως απόδειξη ότι ο στόχος αξίζει να καταδιωχθεί.

Τι σημαίνει αυτό για εσάς

Για ιδιώτες, μικρές επιχειρήσεις και μεγάλους οργανισμούς, το συμπέρασμα δεν είναι ότι τα λύτρα δεν πρέπει ποτέ να πληρώνονται υπό οποιεσδήποτε συνθήκες (αυτή είναι μια απόφαση που κάθε οργανισμός πρέπει να σταθμίσει βάσει της δικής του ανοχής στον κίνδυνο και των νομικών υποχρεώσεων). Αντίθετα, το συμπέρασμα είναι ότι η πληρωμή δεν πρέπει ποτέ να αντιμετωπίζεται ως μια εγγυημένη λύση. Όποιος σκέφτεται να πληρώσει λύτρα πρέπει να προγραμματίσει για την πιθανότητα ότι δεν θα είναι η τελευταία απαίτηση, και ότι η ανάκτηση των δεδομένων δεν είναι εξασφαλισμένη ακόμη και αφού τα χρήματα αλλάξουν χέρια.

Αυτό είναι ιδιαίτερα σημαντικό για μικρότερους οργανισμούς και ιδιώτες που ενδέχεται να μην διαθέτουν ειδικές ομάδες αντιμετώπισης περιστατικών. Η ίδια αναφορά για ransomware που δείχνει θύματα να πληρώνουν και στη συνέχεια να διαπραγματεύονται ξανά υπογραμμίζει ότι ακόμη και εταιρείες με επαρκείς πόρους δυσκολεύονται να κλείσουν τον κύκλο μετά από μια επίθεση. Χωρίς επαγγελματική υποστήριξη αντιμετώπισης περιστατικών, οι πιθανότητες για ένα ευνοϊκό αποτέλεσμα μετά την πληρωμή δεν είναι απαραίτητα καλύτερες για μικρότερους στόχους.

Το πρακτικό συμπέρασμα είναι ότι η πρόληψη και η προετοιμασία έχουν πολύ μεγαλύτερη σημασία από τις διαπραγματευτικές δεξιότητες εκ των υστέρων. Αξιόπιστα, εκτός σύνδεσης αντίγραφα ασφαλείας, δοκιμασμένες διαδικασίες ανάκτησης και ισχυρή ασφάλεια τερματικών μειώνουν εξαρχής τη δυνατότητα μόχλευσης των επιτιθέμενων. Αν ένας οργανισμός δεν χρειαστεί ποτέ να σκεφτεί να πληρώσει επειδή μπορεί να αποκαταστήσει από αντίγραφα ασφαλείας, ολόκληρος ο κύκλος εκβιασμού, συμπεριλαμβανομένου του κινδύνου μιας δεύτερης απαίτησης, γίνεται άνευ σημασίας.

Πρακτικά συμπεράσματα

Μερικά συγκεκριμένα βήματα μπορούν να μειώσουν την έκθεση σε ransomware και τον επακόλουθο κύκλο εκβιασμού:

  • Διατηρείτε τακτικά, δοκιμασμένα αντίγραφα ασφαλείας που αποθηκεύονται εκτός σύνδεσης ή σε ξεχωριστό, απομονωμένο περιβάλλον, ώστε η ανάκτηση να μην εξαρτάται από τη συνεργασία του επιτιθέμενου.
  • Αντιμετωπίστε κάθε πληρωμή λύτρων ως επιχειρηματική απόφαση με πραγματικό κίνδυνο μεταγενέστερων απαιτήσεων, όχι ως εγγυημένη επίλυση.
  • Εμπλέξτε τις αρχές επιβολής του νόμου και έμπειρους επαγγελματίες αντιμετώπισης περιστατικών πριν λάβετε αποφάσεις πληρωμής, καθώς συχνά έχουν γνώση του ιστορικού μιας ομάδας επιτιθέμενων.
  • Επενδύστε στη βασική υγιεινή ασφάλειας, συμπεριλαμβανομένων των ενημερώσεων, του ελέγχου ταυτότητας πολλαπλών παραγόντων και της κατάτμησης δικτύου, για να μειώσετε την πιθανότητα να πέσετε θύμα εξαρχής.

Τελικά, αυτή η έρευνα είναι μια υπενθύμιση ότι μια πληρωμή ransomware δεν αγοράζει οριστική λύση, αγοράζει μια ευκαιρία. Οι οργανισμοί που σχεδιάζουν για ανθεκτικότητα αντί να βασίζονται στη διαπραγμάτευση βρίσκονται σε πολύ ισχυρότερη θέση, είτε αντιμετωπίσουν ποτέ μια απαίτηση λύτρων είτε όχι.