Plaćanje otkupnine rijetko okončava prijetnju, pokazuje istraživanje

Novo istraživanje sigurnosne tvrtke Proofpoint donosi nove brojke koje podupiru upozorenje koje tijela za provedbu zakona ponavljaju godinama: plaćanje ransomware bandi rijetko rješava problem. Prema istraživanju, 58 posto ispitanih tvrtki u Ujedinjenom Kraljevstvu priznalo je da je platilo otkupninu nakon ransomware napada. No podaci sugeriraju da ta odluka često donosi više problema nego zatvaranja.

Istraživanje je pokazalo da je otprilike 22 posto organizacija koje su platile otkupninu ponovno bilo iznuđivano od strane istih napadača, ponekad za dodatna plaćanja povezana s istim ukradenim podacima. U nekim slučajevima, žrtve su platile jednom kako bi otključale svoje sustave, da bi ih tjednima ili mjesecima kasnije kontaktirali s novim prijetnjama da će otkriti iste informacije ako se ne izvrši još jedna uplata. Još više zabrinjava da oko 2 posto žrtava koje su platile otkupninu nikada nije oporavilo svoje datoteke, bilo zato što alati za dešifriranje koje su napadači pružili nisu radili ili zato što kriminalci jednostavno nikada nisu namjeravali ispuniti svoje obećanje.

Ovaj obrazac podudara se s onim što FBI i Europol godinama govore tvrtkama: plaćanje otkupnine financira kriminalne operacije, rijetko jamči čisto rješenje i može označiti organizaciju kao laku metu spremnu ponovno platiti.

Zašto plaćanje otkupnine poziva na ponovljene napade

Logika ponovnog iznuđivanja je iz kriminalne perspektive jednostavna. Nakon što tvrtka pokaže da će platiti kako bi riješila problem, postaje poznata veličina napadačima, a često i drugim kriminalnim skupinama koje kupuju i prodaju podatke o žrtvama na podzemnim forumima. Plaćanje otkupnine ne znači nužno da su ukradeni podaci izbrisani. U mnogim slučajevima, kopije ostaju na infrastrukturi napadača, dijele se s partnerskim grupama ili se tiho čuvaju kao poluga za drugi krug zahtjeva.

To je ključna napetost koju naglašavaju Proofpointovi podaci: kratkoročno olakšanje plaćanja radi ponovnog uspostavljanja operacija može stvoriti dugoročnu odgovornost. Napadači znaju da će tvrtka pod pritiskom da nastavi poslovanje, zaštiti povjerenje kupaca i izbjegne regulatorni nadzor vjerojatnije ponovno platiti nego odustati i prihvatiti posljedice curenja podataka. Ta računica upravo potiče ponovno iznuđivanje i razlog je zašto sigurnosni istraživači i dalje opisuju plaćanje otkupnine kao odluku koja trenutnu krizu zamjenjuje potencijalno većom, ponavljajućom krizom. Pokrivanje ovog istog Proofpointovog istraživanja o ponovljenim ransomware napadima primijetilo je da se motivacijska struktura za napadače samo pojačava nakon što žrtva pokaže spremnost platiti.

Posljedice za privatnost izvan otkupnine

Dok se izvještavanje o ransomwareu često fokusira na operativne zastoje, implikacije za privatnost zaslužuju jednaku pažnju. Kada tvrtka plati otkupninu kako bi spriječila izlaganje podataka, ona zapravo vjeruje kriminalnom poduzetniku da će održati obećanje bez ikakve pravne provedivosti. Podaci o klijentima, podaci o zaposlenicima, financijski detalji i zdravstvene informacije mogu ostati izloženi preprodaji ili curenju bez obzira na plaćanje. Za ljude čiji se podaci nalaze unutar tih probijenih sustava, plaćanje otkupnine ne pruža nikakvo stvarno jamstvo da su njihovi osobni podaci sigurni.

To je posebno relevantno za organizacije koje obrađuju osjetljive osobne podatke, gdje proboj može pokrenuti obveze obavještavanja, regulatorne kazne i dugotrajnu reputacijsku štetu dugo nakon što je otkupnina plaćena. Nalazi istraživanja potvrđuju da ransomware nije samo IT incident. To je incident privatnosti s posljedicama koje se mogu ponovno pojaviti dugo nakon što početni naslovi izblijede.

Što to znači za vas

Ako vodite tvrtku ili upravljate IT i sigurnosnim odlukama za nju, zaključak ovog istraživanja je jasan: plaćanje otkupnine nije zajamčen put do rješenja i može povećati vašu izloženost budućim napadima. Odluke donesene u panici tijekom aktivnog incidenta treba odvagnuti u odnosu na stvarnost da napadači često zadržavaju ukradene podatke bez obzira na plaćanje i da vidljiva spremnost na plaćanje može organizaciju učiniti metom za ponovljene napade.

Za svakodnevne potrošače, ovo je podsjetnik da povrede podataka povezane s ransomware napadima mogu imati duži trag nego što početno medijsko izvještavanje sugerira. Osobne informacije izložene u jednom incidentu mogu se ponovno pojaviti u kasnijim curenjima, čak i ako je pogođena tvrtka izvijestila da je situacija riješena.

Ključni zaključci

  • Gotovo šest od deset ispitanih organizacija u UK platilo je otkupninu nakon napada, prema podacima Proofpointa.
  • Otprilike 22 posto onih koji su platili ponovno je bilo iznuđivano, često korištenjem istih ukradenih podataka.
  • Mali postotak žrtava koje su platile nikada nije ponovno dobio pristup svojim datotekama.
  • Tijela za provedbu zakona, uključujući FBI i Europol, i dalje preporučuju da se ne plaćaju ransomware zahtjevi.
  • Tvrtke bi trebale ulagati u planiranje odgovora na incidente, offline sigurnosne kopije i spremnost za obavještavanje o povredama, umjesto da plaćanje otkupnine tretiraju kao brzo rješenje.

Ransomware ostaje trajna prijetnja, ali ovo istraživanje daje na težini poruci koju sigurnosni stručnjaci guraju godinama: plaćanje ne kupuje mir. Organizacije i pojedinci podjednako su bolje usluženi prevencijom, pripremom i skepticizmom prema svakom obećanju kriminalnih aktera koji drže ukradene podatke kao taoce.