Perusahaan Masih Membayar Tebusan, Data Baru Menunjukkan

Meskipun sudah bertahun-tahun panduan mendesak organisasi untuk menolak tuntutan ransomware, banyak perusahaan masih menulis cek untuk penjahat dunia maya. Sebuah studi baru dari perusahaan keamanan Proofpoint menemukan bahwa hampir seperempat (22%) perusahaan yang membayar tebasan kembali dihantam dengan tuntutan pemerasan kedua, angka yang menimbulkan pertanyaan serius tentang apakah membayar benar-benar menyelesaikan masalah.

Riset ini hadir pada momen ketika otoritas mendorong lebih keras dari sebelumnya agar organisasi mempertahankan pendirian melawan penyerang. National Cyber Security Centre (NCSC) Inggris telah lama menyarankan untuk tidak membayar tebusan, memperingatkan bahwa hal itu mendorong serangan lebih lanjut dan tidak menawarkan jaminan bahwa data yang dicuri atau dienkripsi akan benar-benar dikembalikan. Namun temuan Proofpoint menunjukkan bahwa saran resmi dan keputusan bisnis di dunia nyata sering kali merupakan dua hal yang sangat berbeda.

Mengapa Bisnis Tetap Membayar

Serangan ransomware menempatkan perusahaan pada posisi yang tidak menyenangkan. Ketika sistem terkunci atau data sensitif terancam diungkap ke publik, para eksekutif sering kali dipaksa untuk menimbang kerusakan reputasi, paparan regulasi, dan waktu henti operasional terhadap biaya pembayaran tebusan. Bagi banyak organisasi, membayar bisa terasa seperti jalan tercepat kembali ke keadaan normal, bahkan ketika pakar keamanan memperingatkan bahwa itu jarang berjalan semulus itu.

Perhitungan itu menjadi semakin rumit mengingat bagaimana bisnis ransomware itu sendiri telah menjadi profesional. Negosiasi telah menjadi semacam industri rumahan, dengan perusahaan yang disewa khusus untuk berkomunikasi dengan penyerang dan mencoba mengurangi tuntutan. Namun industri itu bukannya tanpa kontroversi. Dalam satu kasus penting, seorang negosiator profesional dijatuhi hukuman 70 bulan penjara atas perannya dalam kesepakatan ransomware BlackCat, pengingat yang jelas bahwa orang yang menengahi pembayaran ini tidak selalu beroperasi demi kepentingan terbaik perusahaan. Kasus terkait yang melibatkan negosiator yang sama, yang diidentifikasi sebagai Martino dalam catatan pengadilan, semakin menegaskan betapa gelap dan berisikonya secara hukum ekosistem pembayaran tebusan begitu seorang perantara terlibat.

Biaya Privasi dari Membayar Tebusan

Statistik pemerasan berulang 22% ini signifikan karena bertentangan dengan justifikasi inti yang diberikan kebanyakan perusahaan untuk membayar: bahwa hal itu membuat masalah hilang. Jika hampir seperempat korban kembali menjadi sasaran setelah membayar, pembayaran itu tidak membeli keamanan. Itu mungkin hanya mengonfirmasi kepada penyerang bahwa organisasi bersedia dan mampu membayar, menjadikannya sasaran yang lebih menarik untuk serangan di masa mendatang.

Ada juga dimensi privasi yang sering terabaikan dalam diskusi ini. Serangan ransomware sering kali melibatkan pencurian data sensitif—catatan pelanggan, informasi karyawan, detail keuangan—jauh sebelum enkripsi terjadi. Membayar tebusan tidak membatalkan paparan itu. Penyerang mungkin sudah menyalin data, dan pembayaran tidak menawarkan jaminan yang dapat diverifikasi bahwa data itu akan dihapus alih-alih dijual atau dibocorkan nanti. Bagi individu yang datanya berada di dalam sistem perusahaan yang dibobol, negosiasi tebusan yang terjadi di balik pintu tertutup tidak banyak mempengaruhi apakah informasi mereka tetap pribadi.

Apa Artinya Ini untuk Anda

Jika Anda seorang konsumen, data ini adalah pengingat bahwa keputusan perusahaan untuk membayar tebusan tidak selalu melindungi informasi pribadi Anda. Pemberitahuan pelanggaran dan tawaran pemantauan kredit setelah insiden ransomware layak ditanggapi dengan serius, terlepas dari apakah perusahaan yang terkena dampak mengatakan telah menyelesaikan situasi dengan penyerang.

Jika Anda bekerja di TI, keamanan, atau kepemimpinan eksekutif, temuan Proofpoint harus menjadi faktor langsung dalam perencanaan respons insiden. Pembayaran tidak boleh dianggap sebagai perbaikan cepat. Organisasi yang pernah membayar sekali tampaknya tetap menjadi sasaran yang menarik, yang berarti rencana pemulihan perlu mencakup pengerasan pasca-insiden yang lebih kuat, bukan hanya transfer kawat dan desahan lega.

Langkah-langkah yang Dapat Dilakukan

Beberapa langkah praktis dapat membantu mengurangi baik kemungkinan serangan maupun dampaknya jika terjadi:

  • Pertahankan cadangan offline yang telah diuji sehingga tuntutan enkripsi kehilangan pengaruhnya.
  • Perlakukan setiap insiden ransomware sebagai pelanggaran data secara default, karena penyerang sering kali mengeksfiltrasi data sebelum mengenkripsinya.
  • Konsultasikan dengan penegak hukum dan badan seperti NCSC sejak dini, alih-alih langsung melompat ke pembayaran atau negosiasi.
  • Jika melibatkan negosiator, periksa mereka dengan cermat mengingat risiko hukum yang disorot oleh penuntutan baru-baru ini.
  • Berkomunikasi secara transparan dengan pelanggan atau karyawan yang terkena dampak terlepas dari apakah tebusan telah dibayar.

Ransomware tidak akan hilang, dan godaan untuk membayar demi resolusi cepat akan tetap kuat. Namun data baru ini menambah bobot pada apa yang telah dikatakan regulator selama bertahun-tahun: membayar tebusan jarang menjadi akhir cerita, dan mungkin itu hanyalah awal dari cerita kedua.