Amikor egy váltságdíj-követelés jelenik meg a vállalat képernyőin, az ösztönös reakció gyakran az, hogy informatikai vészhelyzetként kezelik: izolálják a hálózatot, riasztják a biztonsági csapatot, felmérik a szerverekben keletkezett károkat. Ám egyre több iránymutatás – legutóbb a Cyber Daily által a kiberzsarolási döntéshozatalról közölt elemzés – világossá teszi, hogy a váltságdíj kifizetése vagy elutasítása messze több egy technikai döntésnél. Ez egy jogi, pénzügyi és mindenekelőtt adatvédelmi döntés, amely minden ügyfelet, alkalmazottat és partnert érint, akinek az adatai az érintett rendszerekben találhatók.

A váltságdíj-döntés mögött rejlő jogi aknamező

A kiberzsarolás egyik leginkább figyelmen kívül hagyott aspektusa, hogy a bűnözők kifizetése jogilag nem mindig egyértelmű. Attól függően, hogy ki áll a támadás mögött, a váltságdíj kifizetése szankciós kockázatnak teheti ki a fizető szervezetet, különösen, ha a fenyegető szereplő vagy az infrastruktúrája szankcionált entitáshoz vagy joghatósághoz kapcsolódik. Azok a szervezetek, amelyek jogi felülvizsgálat nélkül sietnek fizetni, a jogsértésen felül szabályozói ellenőrzéssel is szembesülhetnek. Ahogyan azt korábbi cikkünkben is bemutattuk – a zsarolóvírus-fizetések OFAC-szankciók kockázatát hordozzák –, a fizetési döntés nem csupán arról szól, hogy a cég megengedheti-e magának a követelt összeget. Hanem arról is, hogy maga a kifizetés jogszerű-e, és hogy a szervezet elvégezte-e a szükséges átvilágítást ennek megállapításához.

Pontosan ezért a kiberzsarolásra adott válasz nem maradhat kizárólag az informatikai részleg hatáskörében. A jogi tanácsadókat, a megfelelőségi tisztviselőket és gyakran a bűnüldöző szerveket is a lehető legkorábbi pillanattól be kell vonni a párbeszédbe, nem pedig csak azután, hogy a kifizetést már átutalták.

Miért adatvédelmi probléma ez, nem csupán informatikai?

A zsarolóvírusok régebben elsősorban a fájlok lezárásáról szóltak. Ez megváltozott. A modern zsaroló csoportok egyre gyakrabban adatokat lopnak, mielőtt bármit titkosítanának, majd a nyilvánosságra hozatal fenyegetését használják nyomásként. Ez a változás minden zsarolóvírus-incidenst adatvédelmi incidenssé tesz, függetlenül attól, hogy a rendszereket végül sikerül-e helyreállítani.

Már valós időben láttuk, ahogy ez az evolúció felgyorsul. Egyes csoportok már nem csupán közvetlenül az áldozat szervezetet fenyegetik, hanem azzal fenyegetőznek, hogy a cég saját ügyfeleit is felkeresik, nyomást gyakorolva azáltal, hogy azokat célozzák meg, akiknek a személyes adatai ténylegesen veszélybe kerültek. Ez a taktika teljesen megváltoztatja a helyzetet: még a teljes váltságdíj kifizetése sem garantálja, hogy az ellopott ügyféladatokat nem szivárogtatják ki, nem értékesítik vagy nem használják fel további zsarolásra.

Azoknak a szervezeteknek, amelyek váltságdíj-követelést mérlegelnek, nemcsak azt kell megkérdezniük, hogy „helyre tudjuk-e állítani a rendszereinket”, hanem azt is, hogy „mi történik mindenkinek a személyes adataival a rendszereinkben, függetlenül attól, hogyan döntünk”. Egy váltságdíj kifizetése esetleg megvásárol egy visszafejtő kulcsot. De nem törli azt a tényt, hogy a bűnözők érzékeny adatokhoz fértek hozzá.

A fizetés nem garantálja a biztonságot

Még ha a szervezetek fizetnek is, nincs megbízható bizonyíték arra, hogy ezzel a probléma véget ér. A Proofpoint kutatása szerint a váltságdíjat fizető cégek jelentős része ismételt zsarolási kísérletekkel néz szembe, néha ugyanazok a támadók térnek vissza egy második kifizetésért. Ezek az adatok aláássák a fizetés egyik leggyakoribb indokát: azt a hitet, hogy a probléma ezzel eltűnik.

Néhány szervezet teljesen más utat választott. A svájci vonatgyártó Stadler Rail nyilvánosan visszautasított egy több millió dolláros váltságdíj-követelést, miután a támadók egy harmadik fél szállítón keresztül adatokat loptak, arra fogadva, hogy az elutasítás kevésbé kockázatos, mint a zsarolási gazdaság legitimálása. Eközben a zsarolóvírus-piac folyamatosan változik; egy nemrégiben készült iparági összefoglaló, amely nyomon követi, mely csoportok uralják a jelenlegi fenyegetettségi környezetet, azt mutatja, hogy egy banda kifizetése nem csökkenti az összkockázatot a többi tucatnyi, még mindig aktív csoport részéről.

Mit jelent ez az Ön számára?

Akár egy kisvállalkozást vezet, akár egy nagyvállalat biztonságáért felel, a fizetés-vagy-nem-fizetés döntést soha nem szabad elszigetelten, kizárólag a szervereket kezelő személyeknek meghozni. A döntéshez jogi felülvizsgálat szükséges a szankciók és szabályozási kitettség szempontjából, adatvédelmi értékelés arról, hogy pontosan milyen adatokhoz fértek hozzá, és annak reális megértése, hogy a fizetés semmilyen garanciát nem nyújt a jövőbeli zsarolással vagy adatszivárgással szemben. A hétköznapi fogyasztók számára a tanulság más, de összefügg: a személyes adataik biztonsága egy incidens után nagyban függ olyan cégek döntéseitől, amelyekkel talán soha nem lépnek közvetlen kapcsolatba – ezért számít az, hogy a szervezetek hogyan kezelik a kiberzsarolást, még akkor is, ha nem Ön néz szembe a váltságdíj-követeléssel.

Használható tanulságok

A szervezeteknek már a támadás előtt ki kell dolgozniuk egy incidensreagálási tervet, amely kifejezetten magában foglalja a jogi tanácsadást és az adatvédelmi értékelést a technikai helyreállítás mellett. Soha ne kezeljék a váltságdíj-döntést pusztán pénzügyi kérdésként; a szankciós és megfelelőségi kockázatok valósak, és súlyosbíthatják az eredeti jogsértést. Abból kell kiindulni, hogy minden kiszivárgott adat a fizetéstől függetlenül már veszélybe kerülhetett, és ennek megfelelően kell tervezni az ügyfelek és alkalmazottak értesítését. Végül ne feledjük, hogy a kiberzsarolás elleni leghatékonyabb hosszú távú stratégia nem a gyors váltságdíj-fizetés, hanem az erősebb védelem, amely eleve megakadályozza a zsarolási kísérlet sikerét.