Tvrtke i dalje plaćaju otkupnine, pokazuju novi podaci

Unatoč godinama smjernica koje pozivaju organizacije da odbiju zahtjeve za otkupninom, mnoge tvrtke još uvijek ispisuju čekove kibernetičkim kriminalcima. Novo istraživanje sigurnosne tvrtke Proofpoint otkrilo je da je gotovo četvrtina (22%) tvrtki koje su platile otkupninu ponovno pogođena drugim zahtjevom za iznudu, što je podatak koji postavlja ozbiljna pitanja o tome rješava li plaćanje zapravo išta.

Istraživanje dolazi u trenutku kada vlasti snažnije nego ikad potiču organizacije da se suprotstave napadačima. Nacionalni centar za kibernetičku sigurnost Ujedinjenog Kraljevstva (NCSC) dugo savjetuje protiv plaćanja otkupnina, upozoravajući da to potiče daljnje napade i ne jamči da će ukradeni ili šifrirani podaci doista biti vraćeni. Ipak, nalazi Proofpointa sugeriraju da su službeni savjeti i stvarne poslovne odluke često dvije sasvim različite stvari.

Zašto tvrtke svejedno plaćaju

Napadi ransomwareom stavljaju tvrtke u nezavidan položaj. Kada su sustavi zaključani ili osjetljivi podaci ugroženi prijetnjom javnog objavljivanja, rukovoditelji su često prisiljeni vagati reputacijsku štetu, regulatornu izloženost i operativne zastoje u odnosu na cijenu plaćanja otkupnine. Za mnoge organizacije, plaćanje se može činiti kao najbrži put natrag u normalu, čak i kada sigurnosni stručnjaci upozoravaju da to rijetko prolazi tako glatko.

Ta računica postaje još složenija s obzirom na to koliko je i samo ransomware poslovanje postalo profesionalizirano. Pregovaranje je postalo svojevrsna kućna radinost, s tvrtkama angažiranima upravo za komunikaciju s napadačima i pokušaj smanjenja zahtjeva. No ta industrija nije bila bez kontroverzi. U jednom značajnom slučaju, profesionalni pregovarač osuđen je na 70 mjeseci zatvora zbog svoje uloge u poslu s ransomwareom BlackCat, što je jasan podsjetnik da ljudi koji posreduju u tim plaćanjima ne djeluju uvijek u najboljem interesu tvrtke. Povezani slučaj koji uključuje istog pregovarača, identificiranog kao Martino u sudskim spisima, dodatno naglašava koliko mutan i pravno rizičan ekosustav plaćanja otkupnine može postati kada je posrednik uključen.

Trošak privatnosti kod plaćanja

Statistika o 22% ponovljene iznude značajna je jer se kosi s osnovnim opravdanjem koje većina tvrtki navodi za plaćanje: da time problem nestaje. Ako je gotovo četvrtina žrtava ponovno na meti nakon plaćanja, plaćanje ne kupuje sigurnost. Ono možda jednostavno potvrđuje napadačima da je organizacija voljna i sposobna platiti, što je čini privlačnijom metom za buduće napade.

Postoji i dimenzija privatnosti koja se često zanemaruje u ovim raspravama. Napadi ransomwareom često uključuju krađu osjetljivih podataka—evidencije kupaca, informacija o zaposlenicima, financijskih detalja—i to znatno prije nego što dođe do bilo kakvog šifriranja. Plaćanje otkupnine ne poništava tu izloženost. Napadači su možda već kopirali podatke, a plaćanje ne nudi provjerljivo jamstvo da će oni biti izbrisani, a ne prodani ili procuriti kasnije. Za pojedince čiji podaci leže unutar sustava kompromitirane tvrtke, pregovaranje o otkupnini koje se odvija iza zatvorenih vrata nema mnogo utjecaja na to hoće li njihove informacije ostati privatne.

Što ovo znači za vas

Ako ste potrošač, ovi podaci su podsjetnik da odluka tvrtke da plati otkupninu ne štiti nužno vaše osobne informacije. Obavijesti o povredi podataka i ponude za praćenje kreditnog rejtinga nakon ransomware incidenta vrijedi shvatiti ozbiljno, bez obzira na to tvrdi li pogođena tvrtka da je riješila situaciju s napadačima.

Ako radite u IT-ju, sigurnosti ili izvršnom vodstvu, nalazi Proofpointa trebali bi izravno utjecati na planiranje odgovora na incidente. Plaćanje se nikada ne smije tretirati kao brzo rješenje. Organizacije koje su jednom platile očito ostaju privlačne mete, što znači da planovi oporavka moraju uključivati snažnije ojačavanje nakon incidenta, a ne samo bankovni prijenos i uzdah olakšanja.

Praktični zaključci

Nekoliko praktičnih koraka može pomoći smanjiti i vjerojatnost napada i posljedice ako do njega dođe:

  • Održavajte izvanmrežne, testirane sigurnosne kopije kako bi zahtjevi za dešifriranjem izgubili snagu.
  • Svaki ransomware incident prema zadanim postavkama tretirajte kao povredu podataka, budući da napadači često izvlače podatke prije nego što ih šifriraju.
  • Rano se obratite tijelima kaznenog progona i agencijama poput NCSC-a, umjesto da odmah prelazite na plaćanje ili pregovore.
  • Ako je pregovarač uključen, provjerite ga temeljito s obzirom na pravne rizike istaknute nedavnim kaznenim progonima.
  • Transparentno komunicirajte s pogođenim kupcima ili zaposlenicima bez obzira na to je li otkupnina plaćena.

Ransomware neće nestati, a iskušenje da se plati za brzo rješenje ostat će snažno. No ovi novi podaci daju težinu onome što regulatori govore već godinama: plaćanje otkupnine rijetko je kraj priče, a moglo bi biti tek početak nove.