Pemerasan Kedua yang Bersembunyi di Dalam Pemerasan Pertama

Korban ransomware sudah menghadapi pilihan yang mustahil: membayar kelompok kriminal atau berisiko data curian mereka bocor. Sekarang, menurut para peneliti di GuidePoint Security, sebagian korban menghadapi opsi ketiga yang tidak pernah mereka minta. Sebuah kelompok yang menyebut dirinya "Ransom Busters" telah menghubungi perusahaan yang baru saja terkena ransomware, sebelum serangan tersebut diketahui publik, dan menawarkan untuk memulihkan file yang terenkripsi serta menghapus data curian dengan harga yang lebih murah dari permintaan awal.

Secara tertulis, tawaran itu terdengar seperti penyelamat. Dalam praktiknya, temuan GuidePoint menunjukkan bahwa ini adalah penipuan yang dibangun di atas kejahatan yang sudah sangat merusak. Siapa pun di balik Ransom Busters tampaknya tahu bahwa korban sudah diretas, yang sangat mengindikasikan adanya koneksi dengan operasi ransomware itu sendiri, atau setidaknya akses istimewa ke daftar korbannya. Waktu itulah inti penipuannya: ini berhasil karena target sedang ketakutan, bingung, dan putus asa mencari jalan keluar yang lebih murah dari permintaan awal penyerang.

Bagaimana Skema Ini Mengeksploitasi Kekacauan Sebuah Serangan

Negosiasi ransomware sudah tidak jelas sejak awal. Korban jarang tahu pasti dengan siapa mereka berhadapan, apakah file curian benar-benar dihapus setelah pembayaran, atau apakah membayar justru mengundang serangan berulang. Ketidakpastian itulah lahan subur tempat Ransom Busters menanamkan dirinya. Dengan berpura-pura menjadi firma pemulihan independen, bukan pemeras, skema ini memberi korban rasa aman palsu bahwa mereka berurusan dengan pihak ketiga yang netral, bukan bernegosiasi langsung dengan penjahat.

Ini bukan pertama kalinya para peneliti menandai kelompok spesifik ini. Laporan sebelumnya tentang penipuan Ransom Busters yang memangsa korban ransomware dan tulisan terpisah tentang kelompok Ransom Busters palsu yang menipu korban ransomware sama-sama menggambarkan pola yang sama: kontak dilakukan sebelum pengungkapan publik, harga yang lebih murah, dan janji penghapusan data yang tidak bisa diverifikasi secara realistis. Riset terbaru GuidePoint memperkuat bahwa ini bukan upaya phishing sekali jalan, melainkan bisnis haram yang sedang berjalan dan tampaknya menguntungkan yang menunggangi serangan ransomware yang sah.

Ironi yang tidak nyaman adalah bahwa penipuan ini hanya berhasil karena membayar tuntutan ransomware telah menjadi hal yang cukup normal sehingga korban akan menganggap permintaan pembayaran kedua yang tidak diminta sebagai sesuatu yang masuk akal. Riset dari Proofpoint telah menunjukkan bahwa 1 dari 3 pembayar ransomware terkena serangan lagi, yang berarti organisasi yang membayar sekali secara statistik lebih mungkin menjadi target untuk kedua kalinya. Ransom Busters tampaknya memanfaatkan siklus yang sama, hanya dari sudut yang berbeda.

Mengapa Ini Penting Di Luar Catatan Tebusan

Taruhan privasi di sini melampaui pembayaran yang sia-sia. Korban yang berurusan dengan Ransom Busters, secara definisi, adalah organisasi yang sudah memiliki data sensitif yang dicuri. Setiap saluran komunikasi tambahan yang dibuka korban, terutama yang dimulai oleh pihak tidak terverifikasi yang mengaku memiliki pengetahuan dalam pelanggaran tersebut, adalah peluang lain bagi data itu untuk disalahgunakan, semakin terekspos, atau digunakan sebagai alat tekanan. Jika korban membayar Ransom Busters karena percaya file curian mereka akan dihapus, mereka tidak memiliki jaminan nyata bahwa apa pun benar-benar dihapus. Data itu masih bisa dijual, dibocorkan, atau ditahan untuk pemerasan di masa depan.

Ini masuk ke dalam pola yang lebih luas yang didokumentasikan dalam liputan tentang mengapa ekonomi pemerasan ransomware bertahan hingga 2026: selama pembayaran tetap umum dan verifikasi tetap hampir mustahil, para penjahat akan terus menemukan cara baru untuk menyisipkan diri ke dalam proses pembayaran. Ransom Busters hanyalah variasi terbaru, mengeksploitasi kesenjangan kepercayaan yang sama yang membuat ransomware menguntungkan sejak awal.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda terkena ransomware, perlakukan tawaran bantuan pemulihan yang tidak diminta dengan skeptisisme yang sama seperti Anda memperlakukan tuntutan tebusan itu sendiri. Firma respons insiden yang sah dipekerjakan oleh Anda, bukan sebaliknya, dan mereka biasanya tidak menghubungi Anda secara proaktif sebelum serangan menjadi publik. Pesan yang mengaku memiliki akses internal ke detail pelanggaran Anda, yang tiba dengan mencurigakan cepat, adalah tanda bahaya besar, bukan jalan pintas.

Organisasi harus mengarahkan insiden ransomware apa pun melalui penyedia respons insiden yang dikenal dan terverifikasi atau kontak penegak hukum, daripada berhubungan langsung dengan siapa pun yang menghubungi mereka lebih dulu. Memverifikasi identitas, mendokumentasikan semua komunikasi, dan menahan tekanan untuk bertindak cepat adalah pertahanan terbaik terhadap penipuan yang dirancang untuk mengeksploitasi kepanikan.

Poin-Poin Utama

  • Waspadai siapa pun yang menawarkan layanan "pemulihan" ransomware yang menghubungi Anda sebelum pelanggaran Anda dipublikasikan.
  • Jangan pernah berasumsi bahwa pembayaran yang lebih murah menjamin penghapusan data; tidak ada cara yang dapat diandalkan untuk memverifikasi janji itu.
  • Bekerjalah hanya dengan firma respons insiden yang telah Anda atau penasihat hukum Anda verifikasi secara independen.
  • Laporkan tawaran pemulihan yang mencurigakan kepada penegak hukum, karena itu mungkin menunjukkan pengetahuan internal tentang serangan asli.
  • Pahami bahwa membayar pihak mana pun dalam insiden ransomware, baik penyerang asli maupun pihak lain, membawa risiko dan tidak menjamin keamanan data Anda.