Yritykset maksavat yhä lunnaita, uudet tiedot osoittavat

Vaikka vuosia on ohjeistettu organisaatioita kieltäytymään lunnasvaatimuksista, monet yritykset kirjoittavat yhä shekkejä kyberrikollisille. Tietoturvayritys Proofpointin uusi tutkimus paljasti, että lähes neljännes (22 %) lunnaita maksaneista yrityksistä joutui uudelleen kiristyksen kohteeksi, mikä herättää vakavia kysymyksiä siitä, ratkaiseeko maksaminen todellisuudessa mitään.

Tutkimus julkaistaan aikana, jolloin viranomaiset painostavat voimakkaammin kuin koskaan organisaatioita pitämään pintansa hyökkääjiä vastaan. Yhdistyneen kuningaskunnan National Cyber Security Centre (NCSC) on jo pitkään neuvonut olemaan maksamatta lunnaita, varoittaen sen rohkaisevan uusiin hyökkäyksiin eikä takaa, että varastetut tai salatut tiedot todella palautetaan. Proofpointin havainnot kuitenkin viittaavat siihen, että viralliset neuvot ja todelliset liiketoimintapäätökset ovat usein kaksi hyvin eri asiaa.

Miksi yritykset silti maksavat

Kiristyshaittaohjelmahyökkäykset asettavat yritykset kadehdittavaan asemaan. Kun järjestelmät on lukittu tai arkaluonteisia tietoja uhataan julkistaa, johtajat joutuvat usein punnitsemaan mainehaittaa, sääntelyriskejä ja toiminnan keskeytymisen kustannuksia lunnaiden maksamista vastaan. Monelle organisaatiolle maksaminen voi tuntua nopeimmalta tieltä takaisin normaaliin, vaikka tietoturva-asiantuntijat varoittavat sen harvoin sujuvan niin puhtaasti.

Tämä laskelma muuttuu entistä hankalammaksi, kun otetaan huomioon, kuinka lunnaat itsessään ovat ammattimaistuneet. Neuvottelusta on tullut eräänlainen kotiteollisuuden ala, jossa yrityksiä palkataan kommunikoimaan hyökkääjien kanssa ja yrittämään pienentää vaatimuksia. Mutta tämä ala ei ole ollut kiistaton. Eräässä huomionarvoisessa tapauksessa ammattimainen neuvottelija tuomittiin 70 kuukaudeksi vankeuteen roolistaan BlackCat-lunnaskaupassa, mikä on karu muistutus siitä, että näiden maksujen välittäjät eivät aina toimi yrityksen edun mukaisesti. Samaan neuvottelijaan liittyvä tapaus, joka tunnistetaan oikeuden asiakirjoissa nimellä Martino, korostaa entisestään, kuinka hämäräksi ja juridisesti riskialttiiksi lunnasverkosto voi muuttua, kun välikäsi on mukana.

Maksamisen hintana yksityisyys

22 prosentin toistuvan kiristyksen tilasto on merkittävä, koska se on vastoin sitä keskeistä perustelua, jonka useimmat yritykset antavat maksamiselle: että se poistaa ongelman. Jos lähes neljännes uhreista joutuu uudelleen hyökkäyksen kohteeksi maksamisen jälkeen, maksu ei osta turvaa. Se saattaa vain vahvistaa hyökkääjille, että organisaatio on halukas ja kykenevä maksamaan, mikä tekee siitä houkuttelevamman kohteen tuleville hyökkäyksille.

Näissä keskusteluissa jää usein huomiotta myös yksityisyyden ulottuvuus. Kiristyshaittaohjelmahyökkäyksiin liittyy usein arkaluonteisten tietojen, asiakastietojen, työntekijätietojen ja taloustietojen varastaminen jo kauan ennen salausta. Lunnaiden maksaminen ei kumoa tätä tietovuotoa. Hyökkääjät ovat saattaneet jo kopioida tiedot, eikä maksaminen tarjoa todennettavaa takuuta siitä, että ne poistetaan sen sijaan, että ne myytäisiin tai vuodettaisiin myöhemmin. Niiden henkilöiden kannalta, joiden tiedot ovat tietomurron kohteeksi joutuneen yrityksen järjestelmissä, suljettujen ovien takana käytävällä lunnasneuvottelulla on vain vähän merkitystä sille, pysyvätkö heidän tietonsa yksityisinä.

Mitä tämä tarkoittaa sinulle

Jos olet kuluttaja, nämä tiedot muistuttavat, että yrityksen päätös maksaa lunnaita ei välttämättä suojaa henkilötietojasi. Tietomurtoilmoitukset ja luottotietojen seurantatarjoukset kiristyshaittaohjelmatapauksen jälkeen kannattaa ottaa vakavasti riippumatta siitä, väittääkö yritys ratkaisseensa tilanteen hyökkääjien kanssa.

Jos työskentelet IT:n, tietoturvan tai johdon tehtävissä, Proofpointin havainnot tulisi ottaa suoraan huomioon häiriötilanteiden torjuntasuunnitelmissa. Maksamista ei tulisi koskaan pitää pikaratkaisuna. Organisaatiot, jotka ovat kerran maksaneet, näyttävät pysyvän houkuttelevina kohteina, mikä tarkoittaa, että toipumissuunnitelmien on sisällettävä vahvempaa jälkikovettamista, ei pelkkää tilisiirtoa ja huojentunutta huokausta.

Käytännön toimenpiteet

Muutamalla käytännön toimenpiteellä voidaan vähentää sekä hyökkäyksen todennäköisyyttä että seurauksia, jos sellainen tapahtuu:

  • Ylläpidä offline-tilassa olevia, testattuja varmuuskopioita, jotta salausvaatimukset menettävät vipuvoimansa.
  • Käsittele kaikkia kiristyshaittaohjelmatapauksia oletusarvoisesti tietomurtoina, koska hyökkääjät usein vievät tiedot ennen salausta.
  • Ota yhteyttä lainvalvontaviranomaisiin ja esimerkiksi NCSC:hen varhaisessa vaiheessa sen sijaan, että siirtyisit suoraan maksamiseen tai neuvotteluun.
  • Jos neuvottelija on mukana, tarkasta hänet huolellisesti ottaen huomioon viimeaikaisten syytteiden korostamat oikeudelliset riskit.
  • Viesti avoimesti asianomaisille asiakkaille tai työntekijöille riippumatta siitä, maksettiinko lunnaita.

Kiristyshaittaohjelmat eivät ole katoamassa, ja houkutus maksaa nopeasta ratkaisusta säilyy vahvana. Mutta nämä uudet tiedot lisäävät painoa sille, mitä sääntelyviranomaiset ovat sanoneet vuosia: lunnaiden maksaminen on harvoin tarinan loppu, ja se saattaa olla vasta toisen alku.