Kiristysmaksut päättävät uhan harvoin, tutkimus paljastaa

Tietoturvayhtiö Proofpointin tuore tutkimus antaa tuoreita lukuja varoitukselle, jota lainvalvontaviranomaiset ovat toistaneet vuosia: kiristyshaittaohjelmajengille maksaminen harvoin poistaa ongelmaa. Tutkimuksen mukaan 58 prosenttia kyselyyn vastanneista Yhdistyneen kuningaskunnan yrityksistä myönsi maksaneensa lunnaita kiristyshaittaohjelmahyökkäyksen jälkeen. Aineisto kuitenkin viittaa siihen, että tuo päätös tuo usein mukanaan lisää ongelmia lopullisen ratkaisun sijaan.

Kysely osoitti, että noin 22 prosenttia lunnaat maksaneista organisaatioista joutui samojen hyökkääjien kiristämäksi uudelleen, toisinaan samoihin varastettuihin tietoihin liittyvien lisämaksujen vuoksi. Joissakin tapauksissa uhrit maksoivat kerran avatakseen järjestelmänsä, mutta heihin otettiin viikkojen tai kuukausien kuluttua uudelleen yhteyttä tuoreilla uhkauksilla vuotaa samat tiedot, ellei uutta maksua suoritettaisi. Vielä huolestuttavampaa on, että noin 2 prosenttia lunnaat maksaneista uhreista ei koskaan saanut tiedostojaan takaisin, joko siksi, että hyökkääjien toimittamat salauksenpurkuvälineet eivät toimineet tai koska rikolliset eivät alun perinkään aikoneet pitää lupaustaan.

Tämä kaava vastaa sitä, mitä FBI ja Europol ovat kertoneet yrityksille jo vuosien ajan: lunnaiden maksaminen rahoittaa rikollista toimintaa, takaa harvoin puhdasta ratkaisua ja voi leimata organisaation pehmeäksi kohteeksi, joka on valmis maksamaan uudelleen.

Miksi lunnaiden maksaminen houkuttelee uusintahyökkäyksiin

Toistuvan kiristyksen logiikka on rikollisen näkökulmasta suoraviivainen. Kun yritys on kerran osoittanut maksavansa saadakseen ongelman katoamaan, siitä tulee hyökkääjille tunnettu kohde – ja usein myös muille rikollisryhmille, jotka ostavat ja myyvät uhritietoja maanalaisilla foorumeilla. Lunnaiden maksaminen ei välttämättä tarkoita, että varastetut tiedot poistettaisiin. Monissa tapauksissa kopiot jäävät hyökkääjien järjestelmiin, jaetaan kumppaniryhmille tai säilytetään hiljaisesti vipuvartena toista vaatimuskierrosta varten.

Tämä on se keskeinen jännite, jota Proofpointin aineisto korostaa: lyhyen aikavälin helpotus maksaa toiminnan palauttamiseksi voi luoda pitkäaikaisen vastuun. Hyökkääjät tietävät, että yritys, johon kohdistuu paineita liiketoiminnan jatkamiseksi, asiakasluottamuksen suojelemiseksi ja sääntelytarkastelun välttämiseksi, maksaa todennäköisemmin uudelleen kuin kävelee pois ja hyväksyy tietovuodon seuraukset. Juuri tämä laskelma ruokkii uudelleenkiristystä, ja siksi tietoturvatutkijat kuvaavat yhä lunnaiden maksamista päätökseksi, jossa akuutti kriisi vaihdetaan mahdollisesti suurempaan, toistuvaan ongelmaan. Samasta Proofpointin kyselystä toistuvista kiristyshaittaohjelmahyökkäyksistä kertovassa uutisoinnissa todettiin, että hyökkääjien kannustinrakenne vain vahvistuu, kun uhri osoittaa olevansa valmis maksamaan.

Yksityisyyden suojaan kohdistuvat seuraukset lunnaiden lisäksi

Vaikka kiristyshaittaohjelmauutisoinnissa keskitytään usein toiminnan keskeytymiseen, yksityisyyden suojaan liittyvät vaikutukset ansaitsevat yhtä lailla huomiota. Kun yritys maksaa lunnaat estääkseen tietojen paljastumisen, se käytännössä luottaa rikolliseen yritykseen, joka antaa lupauksen ilman minkäänlaista laillista täytäntöönpanokelpoisuutta. Asiakastiedot, työntekijätiedot, taloustiedot ja terveystiedot voivat pysyä alttiina jälleenmyynnille tai vuodoille maksusta huolimatta. Niille ihmisille, joiden tiedot ovat näissä murretuissa järjestelmissä, lunnaiden maksaminen ei tarjoa minkäänlaista todellista varmuutta siitä, että heidän henkilökohtaiset tietonsa olisivat turvassa.

Tämä on erityisen olennaista organisaatioille, jotka käsittelevät arkaluonteisia henkilötietoja ja joissa tietomurto voi laukaista ilmoitusvelvollisuuksia, sääntelysakkoja ja pitkäkestoista mainehaittaa vielä kauan sen jälkeen, kun lunnaat on maksettu. Kyselyn tulokset vahvistavat, ettei kiristyshaittaohjelma ole pelkkä IT-välikohtaus. Se on yksityisyydensuojaan kohdistuva tapaus, jonka seuraukset voivat nousta uudelleen esiin pitkään alkuperäisten otsikoiden haalistumisen jälkeen.

Mitä tämä tarkoittaa sinulle

Jos johdat yritystä tai teet sen IT- ja tietoturvapäätöksiä, kyselyn opetus on selvä: lunnaiden maksaminen ei ole taattu tie ratkaisuun, ja se voi lisätä altistumistasi tuleville hyökkäyksille. Aktiivisen välikohtauksen paniikissa tehtyjä päätöksiä tulisi punnita sitä todellisuutta vasten, että hyökkääjät säilyttävät varastetut tiedot usein maksusta huolimatta ja että näkyvä valmius maksaa voi tehdä organisaatiosta toistuvan kohteen.

Tavallisille kuluttajille tämä on muistutus siitä, että kiristyshaittaohjelmahyökkäyksiin liittyvillä tietovuodoilla voi olla pidempi häntä kuin alkuperäinen uutisointi antaa ymmärtää. Yhdessä välikohtauksessa paljastuneet henkilötiedot voivat ilmestyä myöhemmissä vuodoissa uudelleen, vaikka kyseinen yritys olisi raportoinut tilanteen ratkenneen.

Keskeiset havainnot

  • Lähes kuusi kymmenestä kyselyyn vastanneesta Yhdistyneen kuningaskunnan organisaatiosta maksoi lunnaat hyökkäyksen jälkeen, kertoo Proofpointin aineisto.
  • Noin 22 prosenttia maksaneista joutui kiristetyksi uudelleen, usein samojen varastettujen tietojen avulla.
  • Pieni osa maksaneista uhreista ei koskaan saanut takaisin pääsyä tiedostoihinsa.
  • Lainvalvontaviranomaiset, mukaan lukien FBI ja Europol, suosittelevat yhä olemaan maksamatta kiristyshaittaohjelmavaatimuksia.
  • Yritysten tulisi panostaa häiriötilanteiden torjuntasuunnitelmiin, verkon ulkopuolisiin varmuuskopioihin ja valmiuteen tehdä tietoturvaloukkausilmoituksia sen sijaan, että lunnaiden maksamista pidettäisiin pika-ratkaisuna.

Kiristyshaittaohjelmat ovat sitkeä uhka, mutta tämä kysely vahvistaa viestiä, jota tietoturva-ammattilaiset ovat toistelleet vuosia: maksaminen ei osta mielenrauhaa. Niin organisaatiot kuin yksityishenkilötkin hyötyvät enemmän ehkäisystä, varautumisesta ja skeptisyydestä kaikkia niitä lupauksia kohtaan, joita rikolliset toimijat antavat pitäessään varastettua tietoa panttivankina.