Pregovori o ransomwareu nekoć su dočaravali slike jednog operatera za tipkovnicom koji čeka da se žrtva javi. Prema novim nalazima tvrtke za obavještavanje o prijetnjama Intel 471, ta je slika zastarjela. Ransomware skupine sada tretiraju pregovore kao organizirani poslovni proces, s istraživanjem prihoda žrtve i osiguravateljnog pokrića prije nego što se uopće spomene iznos otkupnine. Za organizacije srednjeg tržišta, implikacije sežu daleko iznad veličine zahtjeva.

Pregovori o ransomwareu postali su strukturirana funkcija

Istraživanje tvrtke Intel 471 opisuje pomak u kojem iznosi otkupnina više nisu proizvoljni brojevi preuzeti s popisa meta "velikih tvrtki". Umjesto toga, napadači izgleda provode namjernu dubinsku analizu, prikupljajući obavještajne podatke o financijskom stanju žrtve i polici cyber osiguranja prije postavljanja cijene. To odražava širi trend zabilježen u ekosustavu ransomwarea, gdje operacije sve više nalikuju komercijalnim poduzećima s definiranim ulogama, od posrednika za pristup do pregovarača. Izvještavanje o ransomwareu kao poslovnom modelu već je pratilo kako su skupine ransomware-usluge profesionalizirale gotovo svaku fazu napada, a pregovori se sada čine najnovijom funkcijom koja dobiva taj tretman.

Praktični učinak je da se zahtjevi za otkupninu mogu prilagoditi onome što određena organizacija realno može platiti, umjesto fiksne stope u industriji. Tvrtka s velikom dostupnom isplatom osiguranja može se suočiti s višim početnim iznosom od one bez pokrića. Ta kalibracija zahtijeva istraživanje, a istraživanje zahtijeva podatke, što je mjesto gdje se pojavljuju problemi privatnosti.

Zašto je to važno za privatnost, ne samo za financije

Na površini, ovo izgleda kao financijska i operativna priča: ransomware skupine maksimiziraju polugu razumijevajući sposobnost žrtve da plati. Ali temeljni mehanizmi nose stvarne implikacije za privatnost. Kako bi procijenili prihode i status osiguranja, napadači trebaju prikupiti informacije o tvrtki prije ili tijekom provale, često iz samih sustava i datoteka koje kompromitiraju. To znači da financijski zapisi, korespondencija s osiguranjem i interne komunikacije postaju dio izviđanja koje napadači koriste protiv organizacije, a ne samo podaci koji bi kasnije mogli biti objavljeni.

To se također isprepliće s taktikama koje već preoblikuju krajolik iznude. Dokumentirano je da skupine žrtvama daju sve kraće rokove za odgovor, taktiku pritiska ispitanu u izvještavanju o tome zašto ransomware bande sada daju žrtvama samo sedam dana za donošenje odluke. Kada pregovarački tim već zna što žrtva može priuštiti i koliko brzo treba riješiti incident, taj skraćeni vremenski okvir postaje alat za izvlačenje maksimalne isplate, a ne nusproizvod kriminalne nestrpljivosti. Zasebno, izvještavanje o skrivenim troškovima iznude vođene umjetnom inteligencijom pokazalo je da je sam iznos otkupnine često samo jedna stavka u ukupnoj šteti koju žrtva pretrpi, uz pravnu izloženost, regulatorne obavijesti i reputacijsku štetu.

Što to znači za vas

Konkretno za organizacije srednjeg tržišta, model istraženih pregovora mijenja računicu oko spremnosti na odgovor na incident. Mnoge srednje velike tvrtke pretpostavljaju da ih ransomware skupine napadaju oportunistički i da prema svakoj žrtvi postupaju jednako. Nalazi tvrtke Intel 471 sugeriraju suprotno: ako napadači profiliraju prihode i status osiguranja prije imenovanja cijene, srednje tvrtke s vidljivim osiguravateljnim pokrićem ili javnim financijskim objavama mogu biti procijenjene jednako pažljivo kao i veća poduzeća, čak i ako je konačni zahtjev smanjen.

Ovo također ima implikacije na politike. Kako pregovori postaju sve proračunatiji na strani napadača, neke vlade počele su razmatrati treba li žrtvama uopće biti dopušteno pregovarati ili plaćati. Tekuće rasprave pokrivene u izvještavanju o vladama koje razmatraju zabrane plaćanja ransomwarea odražavaju rastuće priznanje da je sam proces pregovora postao dovoljno sofisticiran da zaslužuje regulatornu pozornost, a ne samo tehničku obranu.

Praktični zaključci

Organizacije, posebno tvrtke srednjeg tržišta koje možda vjeruju da su ispod radara, trebale bi ovaj pomak shvatiti kao razlog za reviziju planiranja odgovora na incident sada, prije nego što se incident dogodi. Nekoliko konkretnih koraka može pomoći:

  • Pregledajte tko interno ima pristup financijskim zapisima i dokumentaciji o osiguranju te ograničite izloženost tih informacija na zajedničkim diskovima ili lako dostupnim sustavima.
  • Pripremite se za pregovore o ransomwareu.
  • Provjerite jesu li detalji cyber osiguranja sigurno pohranjeni i da ih uljez ne može lako otkriti u ranim fazama povrede.
  • Vježbajte simulacije koje pretpostavljaju da napadači već znaju vaše prihode i granice pokrića, a ne samo da su šifrirali vaše datoteke.
  • Budite informirani o evoluirajućim praksama pregovora o ransomwareu, jer se taktike i dalje mijenjaju kako napadači profesionaliziraju svoje operacije.

Pregovori o ransomwareu više nisu improvizirani razgovor između žrtve i anonimnog napadača. To je organizirani, istraženi poslovni proces, a organizacije koje razumiju ovaj pomak bolje su pozicionirane da mirno i učinkovito odgovore kada se nađu s druge strane stola.