Intel 471: Geng Ransomware Meneliti Pendapatan Sebelum Bernegosiasi

Negosiasi ransomware biasanya membayangkan seorang operator tunggal di belakang keyboard, menunggu korban untuk melakukan kontak. Menurut temuan baru dari firma intelijen ancaman Intel 471, gambaran itu sudah ketinggalan zaman. Krew ransomware kini memperlakukan negosiasi sebagai proses bisnis yang terstruktur, lengkap dengan riset tentang pendapatan korban dan cakupan asuransi sebelum angka tebusan disebutkan. Bagi organisasi pasar menengah, implikasinya jauh melampaui besarnya surat permintaan.

Negosiasi Ransomware Telah Menjadi Fungsi yang Terstruktur

Riset Intel 471 menggambarkan pergeseran di mana permintaan tebusan tidak lagi menjadi angka arbitrer yang diambil dari daftar target "perusahaan besar". Sebaliknya, penyerang tampaknya melakukan uji tuntas yang disengaja, mengumpulkan intelijen tentang kondisi keuangan korban dan polis asuransi siber sebelum menetapkan harga. Ini mencerminkan tren yang lebih luas yang terdokumentasi di seluruh ekosistem ransomware, di mana operasi semakin menyerupai perusahaan komersial dengan peran yang jelas, mulai dari broker akses hingga negosiator. Pelaporan tentang ransomware sebagai model bisnis telah melacak bagaimana kelompok ransomware-as-a-service memprofesionalkan hampir setiap tahap serangan, dan negosiasi kini tampaknya menjadi fungsi terbaru yang mendapat perlakuan tersebut.

Efek praktisnya adalah permintaan tebusan dapat dikalibrasi sesuai dengan apa yang mungkin mampu dibayar oleh organisasi tertentu, bukan tarif industri yang datar. Perusahaan dengan pembayaran asuransi besar yang tersedia mungkin menghadapi angka awal yang lebih tinggi daripada perusahaan tanpa cakupan. Kalibrasi semacam itu membutuhkan riset, dan riset membutuhkan data, di situlah masalah privasi masuk.

Mengapa Ini Penting untuk Privasi, Bukan Hanya Keuangan

Di permukaan, ini terlihat seperti cerita keuangan dan operasional: krew ransomware memaksimalkan daya tawar dengan memahami kemampuan korban untuk membayar. Tetapi mekanisme yang mendasarinya membawa implikasi privasi yang nyata. Untuk menilai pendapatan dan status asuransi, penyerang perlu mengumpulkan informasi tentang perusahaan sebelum atau selama intrusi, sering kali dari sistem dan file yang mereka kompromikan. Itu berarti catatan keuangan, korespondensi asuransi, dan komunikasi internal menjadi bagian dari pengintaian yang digunakan penyerang terhadap organisasi, bukan hanya data yang nantinya mungkin bocor.

Ini juga bersinggungan dengan taktik yang telah membentuk kembali lanskap pemerasan. Kelompok-kelompok telah didokumentasikan memberi korban jendela waktu yang semakin pendek untuk merespons, sebuah taktik tekanan yang diperiksa dalam pelaporan tentang mengapa geng ransomware kini memberi korban hanya tujuh hari untuk membuat keputusan. Ketika tim negosiasi sudah mengetahui apa yang mampu dibayar korban dan seberapa cepat mereka perlu menyelesaikan insiden, tenggat waktu yang dipersingkat itu menjadi alat untuk mengekstrak pembayaran maksimum, bukan sekadar produk sampingan dari ketidaksabaran kriminal. Secara terpisah, liputan tentang biaya tersembunyi pemerasan berbasis AI telah menunjukkan bahwa angka tebusan itu sendiri sering kali hanya satu baris dalam total kerusakan yang ditanggung korban, di samping paparan hukum, notifikasi regulasi, dan kerusakan reputasi.

Apa Artinya Ini Bagi Anda

Khususnya bagi organisasi pasar menengah, model negosiasi berbasis riset mengubah kalkulasi seputar kesiapan respons insiden. Banyak perusahaan menengah mengasumsikan kelompok ransomware menargetkan mereka secara oportunistik dan memperlakukan setiap korban sama. Temuan Intel 471 menunjukkan sebaliknya: jika penyerang membuat profil pendapatan dan status asuransi sebelum menyebutkan harga, perusahaan pasar menengah dengan cakupan asuransi yang terlihat atau pengungkapan keuangan publik mungkin dinilai sama hati-hatinya dengan perusahaan besar, bahkan jika permintaan akhirnya diskalakan ke bawah.

Ini juga memiliki implikasi kebijakan. Ketika negosiasi menjadi lebih diperhitungkan di sisi penyerang, beberapa pemerintah mulai mempertimbangkan apakah korban harus diizinkan untuk bernegosiasi atau membayar sama sekali. Diskusi yang sedang berlangsung yang diliput dalam pelaporan tentang pemerintah mempertimbangkan larangan pembayaran ransomware mencerminkan pengakuan yang berkembang bahwa proses negosiasi itu sendiri telah menjadi cukup canggih untuk memerlukan perhatian regulasi, bukan hanya pertahanan teknis.

Langkah-Langkah yang Dapat Diambil

Organisasi, khususnya perusahaan pasar menengah yang mungkin percaya mereka terbang di bawah radar, harus memperlakukan pergeseran ini sebagai alasan untuk meninjau kembali perencanaan respons insiden sekarang, sebelum insiden terjadi. Beberapa langkah konkret dapat membantu:

• Tinjau siapa yang memiliki akses ke catatan keuangan dan dokumentasi asuransi secara internal, dan batasi paparan informasi tersebut di drive bersama atau sistem yang mudah dijangkau.
• Siapkan negosiasi ransomware.
• Pastikan detail asuransi siber disimpan dengan aman dan tidak mudah ditemukan oleh penyusup selama tahap awal pelanggaran.
• Lakukan latihan tabletop yang mengasumsikan penyerang sudah mengetahui pendapatan dan batas cakupan Anda, bukan hanya bahwa mereka telah mengenkripsi file Anda.
• Tetap terinformasi tentang praktik negosiasi ransomware yang berkembang, karena taktik terus berubah seiring penyerang memprofesionalkan operasi mereka.

Negosiasi ransomware tidak lagi menjadi percakapan dadakan antara korban dan penyerang anonim. Ini adalah proses bisnis yang terstruktur dan berbasis riset, dan organisasi yang memahami pergeseran ini lebih siap untuk merespons dengan tenang dan efektif ketika mereka menemukan diri mereka di sisi lain meja.