Mengapa 1 dari 5 Pembayaran Tebusan Masih Berakhir dengan Pengkhianatan

Bisnis di Selandia Baru yang sedang mempertimbangkan untuk membayar permintaan tebusan ransomware baru saja mendapatkan titik data yang menyadarkan. Menurut laporan tentang perusahaan Selandia Baru mana yang paling mungkin menjadi target peretas ransomware, 80% korban yang membayar menerima kunci dekripsi yang berfungsi dan data curian mereka tidak bocor seperti yang dijanjikan. Kedengarannya meyakinkan sampai Anda membalik angkanya: dalam satu dari setiap lima kasus, korban membayar tetapi tidak mendapatkan apa-apa. Tidak ada kunci, tidak ada file yang dihapus, tidak ada kesepakatan yang dihormati.

Inilah inti yang tidak nyaman dari risiko pembayaran tebusan ransomware. Seluruh model pemerasan bergantung pada keyakinan korban bahwa penjahat akan menepati janjinya, karena reputasi keandalan membuat korban di masa depan tetap membayar. Namun, reputasi di antara kelompok kriminal bukanlah kontrak hukum, dan laporan tersebut memperjelas bahwa beberapa pelaku hanya mengambil uang dan pergi, atau lebih buruk lagi, kembali untuk meminta lebih.

Bagaimana Kelompok Ransomware Menargetkan dan Memeras Ulang Korban

Salah satu detail yang lebih meresahkan dalam laporan itu menyangkut kelompok bernama SpaceBears, yang menurut laporan memeras ulang korban yang sudah pernah membayar tebusan sekali. Alih-alih menganggap pembayaran sebagai akhir dari insiden, korban-korban ini justru kembali ke titik awal, menghadapi tuntutan kedua untuk data curian yang sama. Taktik ini meruntuhkan premis dasar bahwa membayar akan menyelesaikan masalah. Jika kelompok kriminal memiliki data Anda, satu kali pembayaran tidak menjamin data tersebut hilang dari kepemilikan mereka atau dari kepemilikan siapa pun yang nantinya mereka jual.

Kelompok ransomware cenderung berfokus pada organisasi yang mereka yakini lebih mungkin membayar dengan cepat, seringkali karena biaya downtime atau kerusakan reputasi melebihi tebusan itu sendiri. Biaya pemulihan setelah serangan secara konsisten tinggi, mencakup investigasi forensik, pembangunan kembali sistem, konsultasi hukum, dan kewajiban pelaporan regulasi yang potensial. Tekanan finansial itulah yang justru diandalkan oleh penyerang ketika mereka menetapkan harga dan batas waktu mereka.

Mengurangi Paparan: Dasar-Dasar Perlindungan Data dan Kebersihan Keamanan

Mengingat bahwa bahkan pembayaran yang berhasil pun memiliki kemungkinan kegagalan sekitar 20%, dan bahwa beberapa kelompok dapat mengeksploitasi korban dua kali, strategi yang lebih tahan lama adalah mengurangi kemungkinan serangan yang berhasil sejak awal. Ini dimulai dengan kebersihan keamanan dasar yang sering diabaikan: pencadangan offline rutin atau cadangan yang tidak dapat diubah (immutable) yang tidak dapat dijangkau ransomware, penambalan kerentanan yang diketahui tepat waktu, autentikasi multifaktor pada semua titik akses jarak jauh, dan segmentasi jaringan sehingga satu akun yang disusupi tidak dapat meluas menjadi peristiwa enkripsi skala penuh.

Minimisasi data sama pentingnya dengan pertahanan teknis. Organisasi yang menyimpan lebih sedikit data sensitif, menyimpannya untuk jangka waktu yang lebih singkat, dan mengenkripsi apa yang mereka simpan memberikan pengaruh yang lebih kecil kepada penyerang bahkan jika terjadi pelanggaran. Di sinilah pemahaman tentang yurisdiksi VPN menjadi relevan bagi bisnis dan individu yang menangani lalu lintas sensitif. Negara tempat penyedia layanan secara hukum didirikan menentukan data apa yang dapat dipaksa untuk diserahkan dan upaya hukum apa yang tersedia bagi korban jika terjadi masalah. Memilih alat dan vendor dengan posisi yurisdiksi yang jelas dan menguntungkan adalah bagian dari postur pertahanan yang lebih luas, bukan kekhawatiran yang terpisah dari pencegahan ransomware.

Perbincangan kebijakan digital yang lebih luas di Selandia Baru juga bersinggungan dengan isu ini. Seperti yang ditunjukkan oleh diskusi seputar rencana verifikasi usia Selandia Baru, negara ini secara aktif memperdebatkan seberapa banyak data pribadi yang harus dikumpulkan dan disimpan oleh platform dan regulator. Setiap kumpulan baru informasi pribadi yang tersimpan merupakan target ransomware potensial, yang menjadikan minimisasi data sebagai pertanyaan kebijakan publik sekaligus masalah korporat.

Apa Artinya Ini bagi Bisnis dan Pengguna Biasa

Bagi bisnis di Selandia Baru, intisarinya bukanlah bahwa membayar tebusan selalu sia-sia. Angka 80% menunjukkan bahwa penyerang sering kali memang menepati janjinya. Namun, memperlakukan pembayaran sebagai polis asuransi yang andal adalah kesalahan yang tidak didukung oleh data. Tingkat kegagalan satu dari lima, ditambah dengan kasus pemerasan ulang yang terdokumentasi, berarti pembayaran seharusnya menjadi pilihan terakhir yang dipertimbangkan berdasarkan faktor hukum, keuangan, dan reputasi, bukan tanggapan standar yang tertanam dalam rencana respons insiden.

Bagi pengguna biasa, pelajarannya serupa dalam skala yang lebih kecil. Cadangan data pribadi, kata sandi unik, dan penanganan lampiran serta tautan email secara hati-hati tetap menjadi pertahanan termurah dan paling efektif melawan ransomware yang pada akhirnya menemukan jalan ke individu melalui kampanye phishing. Pemulihan setelah kejadian, baik Anda perusahaan besar maupun pengguna rumahan, mahal dan tidak pasti dibandingkan dengan pencegahan.

Poin-Poin Penting

  • Sekitar 20% korban ransomware yang membayar tidak menerima apa pun sebagai imbalan, meskipun ada janji kunci dekripsi dan penghapusan data.
  • Beberapa kelompok ransomware, termasuk SpaceBears, telah memeras ulang korban yang sudah pernah membayar sekali.
  • Cadangan offline yang andal dan kontrol akses yang kuat mengurangi ketergantungan pada pembayaran tebusan sepenuhnya.
  • Minimisasi data dan kesadaran akan yurisdiksi penyedia mengurangi jumlah pengaruh yang dapat dimiliki penyerang terhadap Anda.
  • Risiko pembayaran tebusan ransomware harus menjadi faktor dalam perencanaan respons insiden setiap organisasi, bukan hanya biaya langsung dari tuntutan.

Memahami risiko pembayaran tebusan ransomware pada akhirnya adalah tentang menyadari bahwa pencegahan, disiplin pencadangan, dan penanganan data yang hati-hati menawarkan kepastian yang lebih besar daripada memercayai perusahaan kriminal untuk menepati bagian mereka dalam kesepakatan pemerasan.