Kada ransomware postane problem kupaca

Ransomware je oduvijek bio tehnička glavobolja, ali se tiho razvio u nešto mnogo veće: izravnu prijetnju privatnosti kupaca i korporativnim financijama u isto vrijeme. Prema novom izvještavanju o taktikama mrežne iznude, napadači su sve spremniji kontaktirati vlastite kupce žrtvine organizacije ako zahtjev za otkupninom ne bude plaćen unutar strogog roka. Taj jedan detalj mijenja računicu za svaku tvrtku koja čuva podatke kupaca, jer posljedice više nisu ograničene na IT odjele i timove za odgovor na incidente. One se izravno prelijevaju na povjerenje kupaca, regulatornu izloženost i krajnji financijski rezultat.

Ova taktika, ponekad nazvana dvostrukom ili višestrukom iznudom, funkcionira tako da kombinira krađu podataka s prijetnjom javnog razotkrivanja. Napadači više ne šifriraju samo datoteke; prvo izvlače osjetljive zapise, a zatim koriste prijetnju curenja ili distribucije tih podataka (novinarima, regulatorima ili sada, samim kupcima) kao dodatnu polugu. Za žrtve to znači da odluka o plaćanju ili neplaćanju otkupnine više nije isključivo tehnička ili financijska. To je odluka koja može uključivati obavještavanje ili neobavještavanje upravo onih ljudi čiji su podaci ugroženi.

Zašto standardne police osiguranja nisu dovoljne

Jedna od najvažnijih točaka istaknutih u izvještaju jest da standardne police imovinskog i osiguranja od odgovornosti, pa čak i osnovni obrasci kibernetičkog osiguranja, često ostavljaju organizacije izloženima kad se ovakav događaj iznude razvije. Tradicionalne police izgrađene su oko užeg shvaćanja kibernetičkog rizika, često usmjerenog na prekid poslovanja ili troškove obnove podataka. Nisu dizajnirane za svijet u kojem napadači koriste prijetnje obavještavanjem kupaca kao taktiku pritiska.

Taj je jaz važan jer stvarni troškovi događaja mrežne iznude daleko premašuju samu otkupninu. Pravni troškovi, regulatorne kazne, forenzička istraga, praćenje kreditne sposobnosti za pogođene kupce i šteta ugledu mogu se brzo nagomilati, a mnogi od tih troškova nisu automatski pokriveni generičkom kibernetičkom policom. Organizacije koje pretpostavljaju da su zaštićene jer imaju "nekakvo" kibernetičko pokriće mogu tek nakon incidenta otkriti da njihova polica ima značajne praznine u vezi sa scenarijima specifičnim za iznudu, posebno onima koji uključuju prijetnje obavještavanjem trećih strana.

Dio onoga što ove situacije čini tako teškim za upravljanje jest ljudski element koji stoji iza samog pregovaranja o otkupnini. Koliki su ulozi ako se taj proces pogrešno izvede, ilustriraju slučajevi poput izricanja presude pregovaraču za ransomware povezanom s BlackCat-om, podsjetnik da pojedinci koji posreduju u tim dogovorima djeluju u pravno mutnom prostoru i da pogrešni koraci tijekom pregovora mogu nositi posljedice koje daleko nadilaze neposredni financijski gubitak.

Kaskadni financijski utjecaj koji financijski direktori ne smiju ignorirati

Za financijske direktore i službenike za upravljanje rizicima, izazov je u tome što jedan incident mrežne iznude pokreće lančanu reakciju troškova koji se rijetko pojavljuju u početnim procjenama štete. Tu je neposredni operativni poremećaj, zatim pravne i obveze usklađivanja povezane s bilo kojim izloženim osobnim podacima, a potom reputacijski trošak kad kupci saznaju da su njihovi podaci ugroženi, ponekad izravno od napadača, a ne od same tvrtke.

Ta posljednja točka zaslužuje posebnu pozornost. Kad napadači potpuno zaobiđu tvrtku i obrate se kupcima, organizacija gubi kontrolu nad vlastitom kriznom komunikacijom. Umjesto da tvrtka kontrolira narativ kroz odmjeren, pravno provjeren postupak obavještavanja, kupci mogu prvo saznati za povredu iz prijeteće poruke koju su poslali kriminalci. Takva dinamika pojačava reputacijsku štetu i može ubrzati odljev kupaca, regulatorni nadzor, pa čak i sudske sporove, a sve to pogađa bilancu dugo nakon što je prvotni rok za otkupninu prošao.

Što to znači za vas

Bez obzira na to vodite li malu tvrtku ili upravljate korporativnim rizikom u većoj organizaciji, ključna je poruka da iznuda ransomwareom više nije pozadinski IT problem. To je rizik okrenut prema kupcima. Ako vaša organizacija čuva osobne podatke, bilo da se radi o podacima za plaćanje, zdravstvenim kartonima ili osnovnim kontakt informacijama, trebali biste pretpostaviti da bi budući ransomware incident mogao uključivati izravan kontakt s ljudima u toj bazi podataka. Ta bi mogućnost trebala oblikovati kako razmišljate o planiranju odgovora na incidente, komunikacijskim protokolima i osiguravajućem pokriću.

Za svakodnevne potrošače ovaj je trend koristan podsjetnik da ostanu na oprezu. Ako ikada primite neočekivanu poruku u kojoj se tvrdi da su vaši podaci ukradeni od tvrtke s kojom poslujete, provjerite to putem službenih kanala prije nego što odgovorite i imajte na umu da legitimne obavijesti o povredi podataka rijetko dolaze s hitnošću ili prijetnjama karakterističnima za otkupninu.

Provedivi zaključci

Organizacije bi trebale pregledati police kibernetičkog osiguranja posebno za scenarije iznude i obavještavanja trećih strana, a ne samo za opće pokriće obnove podataka. Izgradite komunikacijski plan koji pretpostavlja da bi napadači mogli pokušati izravno kontaktirati kupce, tako da vaša organizacija može odgovoriti brzo i transparentno, umjesto reaktivno. Konačno, pripremljenost na ransomware tretirajte kao međufunkcionalno pitanje koje uključuje financijske, pravne i komunikacijske timove, a ne samo IT, budući da stvarni trošak mrežne iznude daleko nadilazi sam zahtjev za otkupninom.