A cégek továbbra is fizetik a váltságdíjakat – derül ki az új adatokból

Annak ellenére, hogy évek óta azt tanácsolják a szervezeteknek, hogy utasítsák el a ransomware követeléseket, sok vállalat még mindig fizet a kiberbűnözőknek. A Proofpoint biztonsági cég új tanulmánya szerint a váltságdíjat fizető cégek közel negyedét (22%) ismételten megzsarolták egy második követeléssel – ez az adat komoly kérdéseket vet fel azzal kapcsolatban, hogy a fizetés valóban megold-e bármit is.

A kutatás olyan időszakban érkezik, amikor a hatóságok minden korábbinál erőteljesebben szorgalmazzák, hogy a szervezetek tartsanak ki a támadókkal szemben. Az Egyesült Királyság Nemzeti Kiberbiztonsági Központja (NCSC) régóta azt tanácsolja, hogy ne fizessenek váltságdíjat, figyelmeztetve, hogy ez további támadásokra ösztönöz, és semmilyen garanciát nem nyújt arra, hogy az ellopott vagy titkosított adatokat valóban visszaadják. A Proofpoint eredményei mégis arra utalnak, hogy a hivatalos tanácsok és a valós üzleti döntések gyakran két teljesen különböző dolgot jelentenek.

Miért fizetnek a vállalkozások mégis

A ransomware támadások irigylésre méltó helyzetbe hozzák a cégeket. Amikor a rendszerek leállnak, vagy érzékeny adatok nyilvánosságra kerülése fenyeget, a vezetőknek gyakran mérlegelniük kell a hírnévromlást, a szabályozói kitettséget és a működési leállást a váltságdíj költségével szemben. Sok szervezet számára a fizetés tűnhet a leggyorsabb útnak a normalitáshoz, még akkor is, ha a biztonsági szakértők arra figyelmeztetnek, hogy ez ritkán végződik ilyen tisztán.

Ez a számítás még kockázatosabbá válik, tekintve, hogy maga a ransomware üzletág mennyire professzionalizálódott. A tárgyalás egyfajta háziiparrá vált, ahol kifejezetten azért bérelnek fel cégeket, hogy kommunikáljanak a támadókkal és megpróbálják csökkenteni a követeléseket. Ez az iparág azonban nem mentes a vitáktól. Egy figyelemre méltó esetben egy profi tárgyalót 70 hónap börtönbüntetésre ítéltek a BlackCat ransomware-ügyletben játszott szerepéért, ami éles emlékeztető arra, hogy az ezeket a kifizetéseket közvetítő személyek nem mindig a cég legjobb érdekében járnak el. Egy kapcsolódó ügy, amelyben ugyanaz a tárgyaló szerepel – akit a bírósági iratok Martinóként azonosítottak – tovább hangsúlyozza, mennyire homályossá és jogilag kockázatossá válhat a váltságdíjfizetési ökoszisztéma, amint egy közvetítő is érintetté válik.

A fizetés adatvédelmi ára

A 22%-os ismételt zsarolási statisztika azért jelentős, mert ellentmond annak az alapvető indoklásnak, amit a legtöbb cég a fizetésre felhoz: hogy ez megszünteti a problémát. Ha az áldozatok közel negyedét a fizetés után ismét célba veszik, akkor a kifizetés nem vásárol biztonságot. Lehet, hogy csupán megerősíti a támadók számára, hogy a szervezet hajlandó és képes fizetni, ami vonzóbb célponttá teszi a jövőbeli támadások számára.

Van egy adatvédelmi dimenzió is, amely gyakran háttérbe szorul ezekben a vitákban. A ransomware támadások gyakran érzékeny adatok – ügyfélnyilvántartások, munkavállalói információk, pénzügyi részletek – ellopásával járnak, jóval azelőtt, hogy bármilyen titkosítás megtörténne. A váltságdíj kifizetése nem teszi meg nem történtté ezt a kitettséget. A támadók lehet, hogy már lemásolták az adatokat, és a kifizetés semmilyen ellenőrizhető garanciát nem nyújt arra, hogy azokat törlik, nem pedig később értékesítik vagy kiszivárogtatják. Azon személyek számára, akiknek az adatai egy feltört cég rendszereiben vannak, a zárt ajtók mögött zajló váltságdíj-tárgyalásnak nincs sok köze ahhoz, hogy az információik bizalmasak maradnak-e.

Mit jelent ez Önnek

Ha Ön fogyasztó, ezek az adatok emlékeztetnek arra, hogy egy cég döntése a váltságdíj kifizetéséről nem feltétlenül védi meg a személyes adatait. A ransomware incidenst követő adatvédelmi incidensről szóló értesítéseket és hitelmonitoring ajánlatokat érdemes komolyan venni, függetlenül attól, hogy az érintett cég azt állítja, hogy rendezte a helyzetet a támadókkal.

Ha Ön az IT, a biztonság vagy a felsővezetés területén dolgozik, a Proofpoint eredményeinek közvetlenül be kell épülniük az incidenskezelési tervezésbe. A fizetést soha nem szabad gyors megoldásként kezelni. Azok a szervezetek, amelyek egyszer már fizettek, továbbra is vonzó célpontnak tűnnek, ami azt jelenti, hogy a helyreállítási terveknek magukban kell foglalniuk az incidens utáni erőteljesebb megerősítést, nem csupán egy átutalást és egy megkönnyebbült sóhajt.

Gyakorlati teendők

Néhány gyakorlati lépés segíthet csökkenteni mind a támadás valószínűségét, mind a következményeket, ha az bekövetkezik:

  • Tartson fenn offline, tesztelt biztonsági mentéseket, hogy a titkosítási követelések elveszítsék az erejüket.
  • Alapértelmezés szerint kezeljen minden ransomware incidenst adatvédelmi incidensként, mivel a támadók gyakran már a titkosítás előtt kiszivárogtatják az adatokat.
  • Mielőbb forduljon a bűnüldöző szervekhez és az olyan ügynökségekhez, mint az NCSC, ahelyett, hogy azonnal a fizetésre vagy tárgyalásra ugrana.
  • Ha tárgyaló is érintett, alaposan ellenőrizze, tekintettel a közelmúltbeli büntetőeljárások által kiemelt jogi kockázatokra.
  • Kommunikáljon átláthatóan az érintett ügyfelekkel vagy munkavállalókkal, függetlenül attól, hogy történt-e váltságdíjfizetés.

A ransomware nem fog eltűnni, és a gyors megoldásért való fizetés kísértése továbbra is erős marad. De ezek az új adatok súlyt adnak annak, amit a szabályozó hatóságok évek óta hangoztatnak: a váltságdíj kifizetése ritkán a történet vége, és lehet, hogy csak egy új történet kezdete.