IBM:n vuoden 2025 Cost of a Data Breach -raportti on antanut kovan luvun jollekin, mistä tietoturva-ammattilaiset ovat varoittaneet vuosia: lunnasvaatimus ei ole koskaan kiristyshaittaohjelmahyökkäyksen todellinen hinta. Raportin mukaan kiristyshaittaohjelmatapauksen keskimääräiset kokonaiskustannukset nousivat 4,4 miljoonaan dollariin, mikä on yli 38 kertaa enemmän kuin 115 000 dollarin keskimääräinen lunnasvaatimus. Kun tarkastelu rajataan tietomurtoihin, joihin liittyy nimenomaan kiristyshaittaohjelma tai kiristys, keskimääräiset kustannukset nousevat edelleen 5,08 miljoonaan dollariin.

Pienille ja keskisuurille yrityksille (pk-yrityksille) nämä luvut eivät ole abstrakteja. Ne edustavat kuilua sen välillä, mitä yritykset budjetoivat (lunnasmaksu, jota ne toivovat, ettei koskaan tarvitse maksaa) ja sen, mitä hyökkäys todella vie organisaatiolta, kun huomioon otetaan palautuminen, käyttökatkokset, oikeudellinen vastuu ja mainevauriot.

Otsikoiden takana olevat numerot

Lunnasvaatimuksen ja tapauksen kokonaiskustannusten välinen 38-kertainen kerroin on IBM:n raportin tärkein luku, ja se ansaitsee enemmän huomiota kuin yleensä saa. Useimmat keskustelut kiristyshaittaohjelmista keskittyvät itse lunnaisiin: kuinka paljon hyökkääjät vaativat, pitäisikö maksaa ja miten neuvotella. Mutta IBM:n tiedot viittaavat siihen, että keskittyminen lunnassummaan peittää todellisen taloudellisen uhan.

115 000 dollarin lunnasvaatimus kuulostaa hallittavalta, vaikkakin kivuliaalta, liiketoimintakululta. 4,4 miljoonan dollarin kokonaiskustannukset ovat täysin eri keskustelu, joka koskettaa palkanmaksua, toimittajasopimuksia, asiakkaiden luottamusta ja joissakin tapauksissa itse yrityksen selviytymistä. Erityisesti kiristyshaittaohjelma- ja kiristysmurtojen 5,08 miljoonan dollarin luku vahvistaa, että tämä tietoturvapoikkeamaluokka on jatkuvasti yksi kalleimmista tietomurtotyypeistä, jonka organisaatio voi kohdata.

Miksi lunnasvaatimus on pienin osa laskua

Lunnaiden ja kokonaiskustannusten välinen kuilu on olemassa, koska kiristyshaittaohjelmat eivät pelkästään salaa tiedostoja – ne häiritsevät toimintaa. Järjestelmät menevät offline-tilaan. Työntekijät eivät pääse käsiksi työkaluihin, joita he tarvitsevat tehdäkseen työnsä. Asiakasrajapinnassa olevat palvelut lakkaavat toimimasta. Palautustiimit on tuotava paikalle, usein hätätilanteessa, rakentamaan infrastruktuuri uudelleen alusta alkaen sen sijaan, että vain luotettaisiin hyökkääjän salauksenpurkausavaimeen.

Operatiivisen häiriön lisäksi on kustannuksia, jotka kertyvät kauan järjestelmien palauttamisen jälkeen: viranomaisilmoitukset, mahdolliset sakot, asiakaspoistuma, oikeudenkäyntikulut ja mainehaitta, joka voi seurata julkista tietomurtoilmoitusta. IBM:n laajempi Cost of a Data Breach -tutkimus on johdonmukaisesti osoittanut, että nämä myöhemmät kustannukset, eivät alkuperäinen kiristysvaatimus, muodostavat suurimman osan siitä, mitä organisaatio lopulta käyttää. Kiristyshaittaohjelmat yksinkertaisesti keskittävät kaikki nämä kustannukset lyhyempään, kaoottisempaan ajanjaksoon.

Miksi pienet ja keskisuuret yritykset ovat kohteena nro 1

Pk-yritykset ovat houkuttelevia kohteita juuri siksi, että niillä on yleensä pienemmät tietoturvabudjetit ja kevyemmät IT-tiimit kuin suurilla yrityksillä, samalla kun niillä on usein hallussaan arvokasta asiakas- tai taloustietoa. Hyökkääjät tietävät, että pienemmällä organisaatiolla on vähemmän todennäköisesti kahdennettuja järjestelmiä, omaa tietoturvapoikkeamien käsittelyhenkilöstöä tai kassavaroja kestää pitkittynyttä käyttökatkosta ilman vakavia seurauksia.

Tämä dynamiikka on näkynyt selvästi viimeaikaisissa kiristyshaittaohjelmakampanjoissa. Ryhmät, kuten Qilin ja The Gentlemen ovat kiihdyttäneet hyökkäyksiä erityisesti pieniä ja keskisuuria yrityksiä vastaan, kilpaillen hallitsevasta asemasta kiristyshaittaohjelmat palveluna -tilassa keskittymällä organisaatioihin, jotka ovat huonommin varustautuneita taistelemaan vastaan. IBM:n kustannusluvut auttavat selittämään miksi: hyökkääjille pk-yritykset edustavat yhdistelmää todellista maksupotentiaalia ja suhteellisen heikkoja puolustuksia – yhdistelmä, joka pitää tämän segmentin vakaasti tähtäimessä.

Mitä tämä tarkoittaa sinulle

Jos johdat tai työskentelet pienessä tai keskisuuressa yrityksessä, näiden lukujen pitäisi muuttaa tapaasi ajatella kiristyshaittaohjelmariskiä. Olennainen kysymys ei ole "onko meillä varaa maksaa lunnaita, jos niin käy", vaan "voimmeko selviytyä tapauksen kokonaiskustannuksista, mukaan lukien viikkojen käyttökatkokset, palautuskulut ja jälkiseuraukset." Nuo kokonaiskustannukset ovat IBM:n tietojen mukaan miljoonissa, eivät kymmenissä tuhansissa.

Tällä on myös suoria yksityisyydensuojaan liittyviä vaikutuksia. Kiristyshaittaohjelmatapauksiin liittyy usein tietovarkaus salauksen ohella, mikä tarkoittaa, että asiakkaiden ja työntekijöiden henkilötiedot voivat päätyä paljastetuiksi, vaikka lunnaat maksettaisiin. Yritykset, jotka kohtelevat kiristyshaittaohjelmia puhtaasti IT-käyttökatkosriskinä, aliarvioivat yksityisyydensuojaan ja vaatimustenmukaisuuteen liittyvät velvoitteet, jotka seuraavat varastettuja tietoja sisältävää tietomurtoa.

Käytännön opit

Ottaen huomioon näiden kustannusten mittakaavan, ennaltaehkäisy ja varautuminen ovat paljon tärkeämpiä kuin neuvottelustrategia. Muutamia konkreettisia priorisoimisen arvoisia askeleita:

  • Ylläpidä säännöllisiä, testattuja varmuuskopioita, jotka tallennetaan offline-tilaan tai tavalla, johon hyökkääjät eivät pääse käsiksi ja jonka he eivät voi salata ensisijaisten järjestelmiesi ohella.
  • Rakenna tietoturvapoikkeamien käsittelysuunnitelma ennen hyökkäystä, älä sen aikana, sisältäen selkeät roolit siitä, kuka tekee päätökset käyttökatkoksista, tiedottamisesta ja yhteydenotosta lainvalvontaviranomaisiin.
  • Panosta perushygieniaan tietoturvassa: monivaiheinen tunnistautuminen, oikea-aikainen päivitysten asennus ja työntekijöiden tietoisuus tietojenkalastelusta, sillä monet kiristyshaittaohjelmatartunnat alkavat yhdestä vaarantuneesta käyttäjätunnuksesta tai sähköpostin klikkauksesta.
  • Ymmärrä tietomurtoilmoitusvelvollisuutesi etukäteen, sillä tietovarkauteen liittyvä kiristyshaittaohjelma voi laukaista lakisääteiset vaatimukset riippumatta siitä, maksetaanko lunnaita vai ei.

IBM:n vuoden 2025 havainnot tekevät yhden asian selväksi: lunnasvaatimus vie huomion pois todellisesta taloudellisesta uhasta, jonka kiristyshaittaohjelmat aiheuttavat. Pk-yrityksille kuilun kuromiseksi umpeen 115 000 dollarin vaatimuksen ja 4,4 miljoonan dollarin laskun välillä on aloitettava kauan ennen kuin hyökkääjä koskaan lähettää ensimmäistä viestiä.