Kun kiristysohjelmasta tulee asiakkaan ongelma
Kiristysohjelmat ovat aina olleet tekninen päänsärky, mutta ne ovat hiljaa kehittyneet paljon suuremmaksi: suoraksi uhkaksi asiakkaiden yksityisyydelle ja yrityksen taloudelle samanaikaisesti. Uuden verkkokiristystaktiikoita koskevan raportoinnin mukaan hyökkääjät ovat yhä valmiimpia ottamaan yhteyttä uhrin organisaation omiin asiakkaisiin, jos lunnaita ei makseta tiukkaan määräaikaan mennessä. Tämä yksityiskohta muuttaa laskelman jokaiselle yritykselle, joka säilyttää asiakastietoja, sillä seuraukset eivät enää rajoitu IT-osastolle ja tietoturvan vastatoimitiimiin. Ne ulottuvat suoraan asiakkaiden luottamukseen, sääntelyriskiin ja tulokseen.
Tämä taktiikka, jota joskus kutsutaan kaksois- tai moninkertaiseksi kiristykseksi, toimii yhdistämällä tietovarkaus julkistamisen uhkaan. Hyökkääjät eivät enää pelkästään salaa tiedostoja; he vievät arkaluonteisia tietoja ensin ja käyttävät sitten uhkaa tietojen vuotamisesta tai jakelusta (toimittajille, sääntelyviranomaisille tai nyt itse asiakkaille) lisävipuvartena. Uhreille tämä tarkoittaa, että päätös lunnaiden maksamisesta tai maksamatta jättämisestä ei ole enää pelkästään tekninen tai taloudellinen. Se on päätös, joka voi edellyttää juuri niiden henkilöiden ilmoittamista tai ilmoittamatta jättämistä, joiden tiedot ovat vaarassa.
Miksi tavalliset vakuutukset jäävät vajaiksi
Yksi raportoinnin tärkeimmistä huomioista on, että tavanomaiset omaisuus- ja vahinkovakuutukset sekä jopa perusmuotoiset kybervakuutukset jättävät organisaatiot usein alttiiksi, kun tällainen kiristystilanne kehittyy. Perinteiset vakuutukset rakennettiin suppeamman kyberriskin käsityksen ympärille, keskittyen usein liiketoiminnan keskeytymiseen tai tietojen palauttamisen kustannuksiin. Niitä ei ole suunniteltu maailmaan, jossa hyökkääjät aseistavat asiakasilmoitusuhkaukset painostuskeinona.
Tämä aukko on merkittävä, koska verkkokiristystapahtuman todelliset kustannukset ylittävät paljon itse lunnassumman. Oikeudenkäyntikulut, sääntelyviranomaisten sakot, rikostekninen tutkinta, asianomaisille asiakkaille tarjottava luottotietojen seuranta ja mainehaitta voivat kasvaa nopeasti, eikä monia näistä kustannuksista kateta automaattisesti yleisluontoisella kybervakuutuksella. Organisaatiot, jotka olettavat olevansa suojattuja, koska niillä on "jonkinlainen" kybervakuutus, saattavat havaita vasta tapauksen jälkeen, että heidän vakuutuksessaan on merkittäviä aukkoja erityisesti kiristystilanteissa, joissa on mukana kolmansien osapuolten ilmoitusuhkauksia.
Osan siitä, mikä tekee näistä tilanteista niin vaikeita hallita, on inhimillinen elementti lunnasneuvottelujen takana. Neuvotteluprosessin epäonnistumisen riskit käyvät ilmi tapauksista, kuten BlackCat-kiristysohjelmaan kytköksissä olleen lunnasneuvottelijan tuomio, mikä muistuttaa, että näitä sopimuksia välittävät henkilöt toimivat oikeudellisesti epämääräisellä alueella ja että virheaskeleet neuvottelujen aikana voivat johtaa seurauksiin, jotka ylittävät välittömän taloudellisen menetyksen.
Taloudellisten vaikutusten ketju, jota talousjohtajat eivät voi sivuuttaa
Talousjohtajille ja riskienhallintapäälliköille haaste on siinä, että yksittäinen verkkokiristystapahtuma laukaisee kustannusten ketjureaktion, joka harvoin näkyy alkuperäisissä vahinkoarvioissa. Ensin tulee välitön toiminnan häiriö, sitten laki- ja vaatimustenmukaisuusvelvoitteet, jotka liittyvät paljastuneisiin henkilötietoihin, ja lopulta mainehaitta, kun asiakkaat saavat tietää tietojensa vaarantuneen, joskus suoraan hyökkääjiltä itseltään eikä yritykseltä.
Tuo viimeinen kohta ansaitsee erityistä huomiota. Kun hyökkääjät ohittavat yrityksen kokonaan ja ottavat yhteyttä asiakkaisiin, se vie organisaatiolta hallinnan omasta kriisiviestinnästään. Sen sijaan, että yritys hallitsisi narratiivia huolellisesti suunnitellun, oikeudellisesti tarkistetun ilmoitusprosessin kautta, asiakkaat saattavat ensin kuulla tietomurrosta rikollisten lähettämän uhkaavan viestin kautta. Tämä dynamiikka voimistaa mainehaittaa ja voi nopeuttaa asiakaskatoa, sääntelyviranomaisten tarkastelua ja jopa oikeudenkäyntejä, jotka kaikki iskevät taseeseen kauan sen jälkeen, kun alkuperäinen lunnasvaatimuksen määräaika on umpeutunut.
Mitä tämä tarkoittaa sinulle
Riippumatta siitä, pyöritätkö pienyritystä vai hallinnoitko yritystason riskejä suuremmassa organisaatiossa, keskeinen johtopäätös on, että kiristysohjelmakiristys ei ole enää IT-taustatoimintojen ongelma. Se on asiakasrajapinnan riski. Jos organisaatiosi säilyttää henkilötietoja, olivatpa ne maksutietoja, terveystietoja tai yksinkertaisia yhteystietoja, sinun tulee olettaa, että tuleva kiristysohjelmatapaus voi sisältää suoran yhteydenoton tietokannan henkilöihin. Tämän mahdollisuuden tulisi vaikuttaa siihen, miten suunnittelet toimintaa häiriötilanteessa, viestintäprotokollia ja vakuutussuojaa.
Tavallisille kuluttajille tämä suuntaus on hyödyllinen muistutus pysyä valppaana. Jos saat koskaan odottamattoman viestin, jossa väitetään tietojesi varastetun yrityksestä, jonka asiakas olet, varmista se virallisten kanavien kautta ennen vastaamista ja ota huomioon, että aidot tietoturvaloukkausilmoitukset tulevat harvoin lunnasvaatimuksille tyypillisen kiireellisyyden ja uhkausten kera.
Käytännön toimenpiteet
Organisaatioiden tulisi tarkistaa kybervakuutuksensa erityisesti kiristys- ja kolmannen osapuolen ilmoitusuhkatilanteiden varalta, ei pelkästään yleisen tietojen palauttamiskattavuuden osalta. Laadi viestintäsuunnitelma, jossa oletetaan, että hyökkääjät saattavat yrittää ottaa yhteyttä asiakkaisiin suoraan, jotta organisaatiosi voi vastata nopeasti ja avoimesti eikä pelkästään reaktiivisesti. Lopuksi, käsittele kiristysohjelmiin varautumista monialaisena asiana, johon osallistuvat talous-, laki- ja viestintätiimit, ei pelkästään IT-osasto, sillä verkkokiristyksen todelliset kustannukset ylittävät reilusti itse lunnasvaatimuksen.
