A dél-afrikai vállalatok által bevezethető váltságdíjfizetési tilalom élő vita tárgya, és egyik leghangosabb támogatója éppen az, aki már fizetett váltságdíjat. A TechCentral szerint a MIP Holdings vezérigazgatója, Richard Firth fizetett váltságdíjat, látta, mit ért el vele, és most azt szeretné, ha az ilyen kifizetéseket betiltanák. Az Orange Cyberdefense munkatársa, Dominic White más megközelítést sürget.

A nézeteltérésnek a tárgyalótermeken túl is jelentősége van. Amikor a bűnözők túszul ejtik egy vállalat adatait, a kockázatnak kitett információ általában hétköznapi ügyfelekhez és alkalmazottakhoz tartozik. Az, hogy Dél-Afrika hogyan válaszol erre a kérdésre, meghatározza majd, hogy ezeknek az embereknek mennyi beleszólásuk lesz abba, mi történik ezután.

Miért akarja egy váltságdíjat fizető vezérigazgató a kifizetések betiltását

Firth álláspontja azért bír súllyal, mert közvetlen tapasztalatból ered. Nem elméleti alapon érvel; szembesült a döntéssel, meghozta a kifizetést, és arra a következtetésre jutott, hogy az országnak teljesen el kellene vennie ezt a lehetőséget a vállalatoktól.

A tudósítás összefoglalója nem fejti ki érvelésének minden részletét, így helytelen lenne szavakat adni a szájába. A tilalom logikája azonban jól ismert. A zsarolóvírus-csoportok azért támadnak folyamatosan, mert megéri. Ha a fizetés illegális lenne – így a logika –, zsugorodna a dél-afrikai szervezetek célba vételének pénzügyi ösztönzője. A tilalom megszüntetné a nyomást arról a vezetőről is, aki válság közepén dönt arról, hogy fizessen-e. A törvény helyettük hozná meg a döntést.

Van egy méltányossági érv is. Az a vállalat, amelyik fizet, a következő támadást finanszírozza, és ennek a költségét az ország összes többi szervezete viseli.

Miért ellenzik a biztonsági szakértők a tilalmat

Az Orange Cyberdefense munkatársa, Dominic White a teljes tiltás helyett más megközelítést sürget. A rendelkezésünkre álló összefoglaló nem részletezi konkrét javaslatait, így nem találgatunk róluk. Amit elmondhatunk, hogy a szélesebb szakpolitikai vitában a kritikusoknak több ismerős aggodalmuk is van.

Az első, hogy a tilalom büntetheti az áldozatot. Egy vállalat, amely már a zárolt rendszerekkel és ellopott adatokkal küzd, a helyreállítási kísérlet miatt jogi kitettséggel is szembesülhet. A második, hogy a tilalom a föld alá szoríthatja a kifizetéseket: ha a fizetés illegális, egyes áldozatok csendben fizethetnek, és elkerülik a támadás bejelentését, így a hatóságok és más szervezetek kevesebb információhoz jutnak. A harmadik gyakorlati jellegű. A kritikusok gyakran érvelnek amellett, hogy a pénzt jobb lenne megelőzésre fordítani, például biztonsági mentésekre, hálózati szegmentálásra és incidenskezelési tervezésre, hogy a vállalatok soha ne kényszerüljenek választásra.

Egyik érv sem dönti el a kérdést. Azt magyarázzák, miért jutnak józan emberek – köztük olyanok, akik átéltek egy támadást – különböző következtetésekre.

Megvédené-e a tilalom az ellopott személyes adatokat

Ez az a rész, amely a legközvetlenebbül érinti az olvasókat. A váltságdíj kifizetése semmit sem garantál. A bűnözők megőrizhetik az ellopott adatok másolatait, eladhatják vagy később kiszivárogtathatják azokat, bármit is ígértek. Tehát a kifizetés gyenge védelem a személyes adataid számára, még akkor is, ha a legjobb szándékkal történik.

A tilalom nem fordítaná vissza ezt a valóságot. Ha egy vállalatot megsértenek, az adataid már a bűnözők kezében lehetnek. Amit a tilalom megváltoztathat, az a jövőbeli támadások ösztönzőrendszere. Amit önmagában nem tud megtenni, az az, hogy a szervezetek kevesebb adatot tároljanak, megfelelően titkosítsák azt, vagy gyorsan értesítsék az érintetteket. Ezek a kötelezettségek külön szabályokban és gyakorlatokban találhatók.

A zsarolócsoportok sem támaszkodnak mindig a titkosításra. Egyesek egyszerűen ellopják az adatokat, és azzal fenyegetőznek, hogy közzéteszik azokat, ami azt jelenti, hogy egy vállalatnak teljesen működőképes rendszerei lehetnek, és mégis szembesülhetnek követeléssel. A ShinyHunters hogyan lop és szivárogtat ki adatokat nagy szervezetektől című tudósításunk bemutatja, hogyan működik ez a nyomásgyakorlási modell a gyakorlatban, és miért nem lehet a bűnözők fizetési ígéretére támaszkodni.

Mit jelent ez számodra

A legtöbb ember soha nem kerül abba a helyzetbe, hogy eldöntse, fizet-e váltságdíjat. Sokkal valószínűbb, hogy olyan ügyfél vagy, akinek az adatai egy megtámadott vállalaton belül vannak. Ez azt jelenti, hogy a szakpolitikai vita számodra a mindennapokban kevésbé fontos, mint a saját felkészültséged.

Bármit is dönt Dél-Afrika, feltételezd, hogy bármely szervezetnél, amely az adataidat tárolja, lehetséges az adatszivárgás. A tilalom végül csökkentheti a támadásokat, de nem szünteti meg egyik napról a másikra a kitettség kockázatát, és nem fogja megmondani, mikor szivárgott ki a saját információid.

Mit tegyél, ha váltságdíjat követelnek az adataidért

Ha egy vállalat tájékoztat, hogy az adataid érintettek egy zsarolóvírus- vagy zsarolási incidensben, a saját nevedben cselekedj, ahelyett hogy bármely tárgyalás kimenetelére várnál.

  • Változtass jelszavakat az érintett szolgáltatásnál és mindenhol, ahol újra felhasználtad azokat, és kapcsold be a többtényezős hitelesítést.
  • Figyeld a fiókjaidat szokatlan tranzakciók után, és vedd fel a kapcsolatot a bankoddal, ha valami gyanúsnak tűnik.
  • Légy éber az adathalászattal szemben. Az ellopott elérhetőségeket gyakran meggyőző utólagos csalásokhoz használják, amelyek az adatszivárgásra hivatkoznak.
  • Kérdezd meg a vállalatot, mit vittek el, fizetett-e, és mit tesz a védelmed érdekében.
  • Korlátozd, mit osztasz meg. Minél kevesebbet adsz át, annál kevesebb van, amit el lehet lopni.

Ha konkrét példát szeretnél ezeknek a lépéseknek egy dél-afrikai incidensre való alkalmazására, lásd útmutatónkat arról, mit tegyenek most a Standard Bank ügyfelei.

Fő tanulságok

A vita arról a váltságdíjfizetési tilalomról, amelyet Dél-Afrika esetleg bevezethet, valójában az ösztönzőkről, az áldozatokról és a kompromisszumokról szól. Firth felhívása annak a hitelességét hordozza, aki fizetett, és megbánta, amit ezzel elért. White alternatívája azt a aggodalmat tükrözi, hogy a tilalom önmagában nem feltétlenül orvosolja a mögöttes gyengeséget. Mindkét álláspont elfogadja, hogy a váltságdíjfizetés rossz módja az emberek adatainak védelmének.

Ne várj a jogszabályra. Biztosítsd a fiókjaidat, légy gyanakvó az adatszivárgást említő üzenetekkel szemben, és kövesd a Standard Bank útmutatójában található gyakorlati lépéseket. Ha meg akarod érteni, hogyan működnek valójában a zsarolócsapatok, olvasd el a fent linkelt ShinyHunters-tudósításunkat.