Tuore Singaporen tutkimus antaa epämiellyttävän muistutuksen yrityksille, jotka punnitsevat lunnasvaatimuksen maksamista: maksu ei useinkaan päätä koettelemusta. Singapore Business Review -raportin mukaan 50 % paikallisista organisaatioista, jotka joutuivat kiristyshyökkäysten kohteeksi, maksoivat hyökkääjilleen, ja huomattava osa maksaneista lunnasuhrien kohteeksi joutuneista joutui myöhemmin kohtaamaan toisen vaatimuksen.

Tämä havainto on ristiriidassa yleisen oletuksen kanssa, jonka mukaan lunnaiden maksaminen on nopea tapa saada kallis ongelma häviämään. Monien organisaatioiden kohdalla näyttää tapahtuvan päinvastoin: se viestittää rikollisryhmille, että uhri on sekä halukas että kykenevä maksamaan, mikä tekee hänestä oivallisen ehdokkaan toiselle kierrokselle.

Mitä tutkimuksessa havaittiin

Tutkimuksen ydinluku on yksinkertainen mutta karu. Puolet tutkimukseen osallistuneista singaporelaisista organisaatioista, jotka kokivat lunnas- tai kiristyshyökkäyksen, päätti maksaa hyökkääjilleen. Kyseessä on kolikonheittopäätös, joka tehdään valtavan paineen alla – usein salatut järjestelmät, pysäytetyt toiminnot ja uhkaava mainehaitta vaikuttavat lopputulokseen.

Mikä tekee tästä aineistosta erityisen huomionarvoista, on jatkoseuranta: huomattava osa maksaneista ei saanutkaan ongelmaa ratkaistua. Sen sijaan he saivat toisen kiristysvaatimuksen – joko sama ryhmä palasi hakemaan lisää tai jokin liitännäinen toimija hyödynsi samaa pääsyä tai vuotaneita tietoja. Tämä malli ei ole ainutlaatuinen Singaporessa. Vastaavia havaintoja on saatu muualtakin, mukaan lukien analyysi, jonka mukaan lunnasrikollisjengit kiristävät uudelleen 22 % aiemmin maksaneista uhreista, ja erillisessä uusiseelantilaisessa tutkimuksessa havaittiin, että noin 1/5 lunnaista petettiin hyökkääjien toimesta, jotka palasivat maksusta huolimatta.

Nämä datapisteet yhdessä maalaavat eri markkinoilla johdonmukaisen kuvan: lunnaiden maksaminen ei luotettavasti osta turvaa, ja huomattavassa osassa tapauksia se saattaa kasvattaa todennäköisyyttä joutua uudelleen kohteeksi.

Miksi hyökkääjät tulevat takaisin hakemaan lisää

Käyttäytymismalli on yksinkertainen, kun sitä tarkastelee rikollisen näkökulmasta. Uhri, joka on jo maksanut, on osoittanut kolme kiristäjälle arvokasta asiaa: hänellä on käytettävissä rahaa, hän on päättänyt, että maksaminen on parempi vaihtoehto kuin ei-maksaminen, ja häneltä saattaa puuttua tekninen puolustus toistuvan tunkeutumisen estämiseksi.

Lunnasohjelmatoiminnat muistuttavat yhä enemmän yrityksiä, joilla on omat sisäiset mittarinsa. Kärjistetysti sanottuna maksava asiakas on todistetusti potentiaalinen kohde. Jotkut ryhmät toimivat myös kumppaneina tai franchising-periaatteella, mikä tarkoittaa, että uhrin tiedot tai verkkoon pääsy voidaan myydä edelleen tai käyttää uudelleen täysin eri rikollisryhmän toimesta, jolloin toinen vaatimus ei liity mitenkään ensimmäisen hyökkäyksen takana olleeseen joukkoon. Kummassakin tapauksessa uhri kantaa riskin kahteen kertaan.

Tämä dynamiikka on juuri se syy, miksi kyberturvallisuusvirastot ja tutkijat ovat jo pitkään varoittaneet käsittelemästä lunnasmaksua ratkaisuna tilapäisen ja epäluotettavan hätävarjelun sijaan.

Lunnasmaksujen sijaan: todellisten puolustusten rakentaminen

Jos maksu ei ole taattu korjaus, mihin organisaatioiden ja yksityishenkilöiden tulisi keskittyä? Vastaus on hyökkäyksen onnistumisen todennäköisyyden pienentämisessä heti alkuunsa ja vahinkojen rajoittamisessa, kun sellainen tapahtuu.

Se alkaa perusasioista: offline-varmuuskopioiden ylläpitäminen, jotka on testattu, jotta salattu data voidaan palauttaa ilman neuvotteluja hyökkääjien kanssa. Se tarkoittaa myös etäkäyttörajoitusten tiukentamista, sillä kompromettoidut kirjautumistiedot ja avoimet etätyöpöytäprotokollat ovat edelleen yleisiä sisäänpääsyreittejä lunnasohjelmajengeille. Arkaluontoisen liikenteen salaaminen ja turvallisten, hyvin konfiguroitujen VPN-yhteyksien käyttö etä- ja hybridityössä voi pienentää hyökkäyspinta-alaa, johon rikolliset tukeutuvat saadakseen jalansijan. Työntekijöiden kouluttaminen tunnistamaan kalasteluyritykset, jotka ovat edelleen yleisin tapa toimittaa lunnasohjelmien hyötykuormia, täydentää kerrostetun puolustusstrategian, joka ei perustu toiveeseen, että hyökkääjät pitävät sanansa.

Mitä tämä tarkoittaa sinulle

Erityisesti pienten ja keskisuurten yritysten tulisi tämän tutkimuksen pohjalta muokata häiriötilanteiden hallintasuunnitelmiaan. Jos organisaatiosi joutuu joskus lunnasohjelmahyökkäyksen kohteeksi, maksupäätöstä ei tulisi käsitellä puhtaana irtautumisstrategiana. Budjetoi ja suunnittele aivan kuin maksu toisi vain tilapäistä helpotusta, ei pysyvää ratkaisua. Tämä tarkoittaa dokumentoitua häiriötilanteiden hallintasuunnitelmaa, oikeudellista ja sääntelyyn liittyvää ohjeistusta etukäteen valmisteltuna ja selkeää ymmärrystä siitä, että maksaminen voi houkutella lisää hyökkäyksiä eikä lopettaa niitä.

Yksityishenkilöille ja etätyöntekijöille opetus on henkilökohtaisempi: hyökkääjien hyödyntämät heikot kohdat, päivittämättömistä ohjelmistoista suojaamattomiin yhteyksiin, ovat usein estettävissä perushygienialla eivätkä kalliilla työkaluilla.

Keskeiset johtopäätökset

  • Puolet singaporelaisorganisaatioista, jotka joutuivat kiristyshyökkäysten kohteeksi, maksoivat hyökkääjilleen uuden tutkimuksen mukaan.
  • Huomattava osa maksaneista lunnasuhreista sai silti toisen kiristysvaatimuksen, mikä toistaa maailmanlaajuisia havaintoja.
  • Maksua tulisi käsitellä viimeisenä keinona eikä taattuna ratkaisuna aktiiviseen hyökkäykseen.
  • Vahvat varmuuskopiot, turvallinen etäkäyttö ja kalastelutietoisuus pienentävät todennäköisyyttä joutua ikinä kohtaamaan tätä päätöstä.
  • Organisaatioiden tulisi suunnitella häiriötilanteiden hallinta olettaen, että hyökkääjät saattavat palata, eikä olettaen, että maksu lopettaa uhan.

Pohjimmiltaan tutkimus on kehotus siirtää painopistettä reaktiivisista maksupäätöksistä ennakoivaan ehkäisyyn. Parhaimmassa asemassa lunnasohjelmahyökkäyksen kestämiseksi ovat ne yritykset, joiden ei koskaan tarvitse päättää, kannattaako maksamisen riski ottaa.