Kad se poruka o otkupnini pojavi na ekranima tvrtke, prvi instinkt često je tretirati to kao IT hitan slučaj: izolirati mrežu, pozvati sigurnosni tim, procijeniti štetu na poslužiteljima. No, sve veći broj smjernica, koje je nedavno detaljno opisao Cyber Daily u svojoj analizi donošenja odluka o cyber iznudi, jasno pokazuje da je plaćanje ili odbijanje otkupnine mnogo više od tehničkog izbora. To je pravna, financijska, a prije svega odluka o privatnosti koja se tiče svakog kupca, zaposlenika i partnera čiji se podaci nalaze unutar probijenih sustava.
Pravno minsko polje iza odluke o otkupnini
Jedan od najzanemarenijih aspekata cyber iznude je to da plaćanje kriminalcima nije uvijek pravno jednostavno. Ovisno o tome tko stoji iza napada, plaćanje otkupnine može izložiti organizaciju koja plaća riziku od sankcija, osobito ako je akter prijetnje ili njegova infrastruktura povezana sa sankcioniranim subjektom ili jurisdikcijom. Organizacije koje žure s plaćanjem bez pravne provjere mogu se suočiti s regulatornim nadzorom povrh samog proboja. Kako je navedeno u našem ranijem izvještaju o tome kako plaćanje otkupnine riskira OFAC sankcije, odluka o plaćanju nije samo pitanje može li si tvrtka priuštiti zahtjev. Radi se o tome je li samo plaćanje legalno i je li organizacija provela dužnu pažnju kako bi to saznala.
Upravo zato odgovor na cyber iznudu ne može biti isključivo u IT odjelu. Pravni savjetnici, službenici za usklađenost, a često i policija, moraju biti dio razgovora od najranijeg mogućeg trenutka, a ne uključeni tek nakon što je plaćanje već izvršeno.
Zašto je ovo problem privatnosti, a ne samo IT problem
Ransomware se nekad prvenstveno odnosio na zaključavanje datoteka. To se promijenilo. Suvremene grupe za iznudu sve više kradu podatke prije nego išta kriptiraju, a zatim koriste prijetnju izloženošću kao polugu. Ta promjena pretvara svaki ransomware incident u incident povrede privatnosti podataka, bez obzira na to jesu li sustavi na kraju obnovljeni.
Vidjeli smo kako se ova evolucija ubrzava u stvarnom vremenu. Neke su grupe otišle dalje od izravnog prijetećeg djelovanja prema žrtvi i sada prijete da će kontaktirati vlastite klijente tvrtke, vršeći pritisak ciljanjem na osobe čije su osobne informacije zapravo ugrožene. Ta taktika potpuno mijenja računicu: čak ni potpuno plaćanje otkupnine ne jamči da ukradeni podaci kupaca neće biti procurili, prodani ili korišteni za daljnju iznudu.
Organizacije koje razmatraju zahtjev za otkupninu moraju se pitati ne samo "možemo li oporaviti naše sustave", već "što se događa s osobnim podacima svih u našim sustavima, bez obzira na to što odlučimo". Plaćanje otkupnine može kupiti ključ za dešifriranje. Ono ne briše činjenicu da su osjetljivi podaci uopće bili izloženi kriminalcima.
Plaćanje ne jamči sigurnost
Čak i kada organizacije plate, nema pouzdanih dokaza da to rješava problem. Istraživanje tvrtke Proofpoint otkrilo je da se značajan udio tvrtki koje plate otkupninu suočava s ponovljenim pokušajima iznude, ponekad od istih napadača koji se vraćaju po drugu isplatu. Ti podaci potkopavaju jedno od najčešćih opravdanja za plaćanje: uvjerenje da ono čini problem nestalim.
Neke su organizacije odabrale potpuno drugačiji put. Stadler Rail, švicarski proizvođač vlakova, javno je odbio višemilijunski zahtjev za otkupninu nakon što su napadači ukrali podatke putem dobavljača treće strane, procijenivši da je odbijanje manje rizično od legitimiranja ekonomije iznude. U međuvremenu, ransomware krajolik se neprestano mijenja; nedavni industrijski pregled koji prati koje grupe dominiraju trenutnim okruženjem prijetnji pokazuje da plaćanje jednoj bandi ne smanjuje ukupni rizik od desetaka drugih koje su još uvijek aktivne.
Što to znači za vas
Bilo da vodite malu tvrtku ili upravljate sigurnošću velikog poduzeća, odluka o plaćanju ili neplaćanju nikada se ne smije donositi izolirano od strane onoga tko upravlja poslužiteljima. Zahtijeva pravnu provjeru zbog sankcija i regulatorne izloženosti, procjenu privatnosti o tome koji su točno podaci bili dostupni te realno razumijevanje da plaćanje ne nudi jamstvo protiv budućih iznuda ili curenja podataka. Za obične potrošače, pouka je drugačija, ali povezana: sigurnost vaših osobnih podataka nakon proboja uvelike ovisi o odlukama koje donose tvrtke s kojima možda nikada ne komunicirate izravno, zbog čega je razumijevanje načina na koji organizacije rješavaju cyber iznudu važno čak i ako vi niste ti koji se suočavate s porukom o otkupnini.
Provedivi zaključci
Organizacije bi trebale izraditi plan odgovora na incident prije nego što se napad dogodi, koji izričito uključuje pravnog savjetnika i procjenu privatnosti uz tehničku sanaciju. Nikada ne tretirajte odluku o otkupnini kao isključivo financijsku; rizici od sankcija i usklađenosti su stvarni i mogu pogoršati izvorni proboj. Pretpostavite da bi svi eksfiltrirani podaci već mogli biti kompromitirani bez obzira na plaćanje i planirajte obavijesti kupcima i zaposlenicima u skladu s tim. Konačno, zapamtite da najsigurnija dugoročna strategija protiv cyber iznude nije brzo plaćanje otkupnine, već jača obrana koja sprječava da pokušaj iznude uopće uspije.
