Mengapa Membayar Tebusan Tidak Mengakhiri Masalah
Ketika ransomware mengunci sistem perusahaan, naluri untuk membayar dan melanjutkan aktivitas dapat dimengerti. Sebuah survei baru dari perusahaan keamanan Proofpoint, yang melibatkan 953 perusahaan, menunjukkan bahwa naluri tersebut bisa menjadi bumerang. Menurut temuan tersebut, organisasi yang membayar permintaan tebusan sering kali menjadi target yang lebih menarik, bukan sebaliknya. Begitu kelompok kriminal mengonfirmasi bahwa korban bersedia membayar, korban yang sama dapat ditandai untuk serangan lanjutan.
Hal ini penting karena logika di balik pembayaran tebusan selalu bertumpu pada pertukaran sederhana: uang untuk penyelesaian. Para eksekutif menyetujui pembayaran dengan keyakinan bahwa hal itu akan memulihkan sistem, menghapus data yang dicuri, membatasi gangguan bisnis, dan melindungi pelanggan. Penelitian Proofpoint menunjukkan bahwa pertukaran ini jauh kurang dapat diandalkan daripada yang diasumsikan kebanyakan organisasi. Membayar tidak selalu mengakhiri hubungan dengan penyerang; dalam beberapa kasus, justru memulai hubungan baru.
Logika Bisnis di Balik Permintaan Kedua
Kelompok ransomware beroperasi seperti bisnis, dan bisnis mencari pelanggan tetap. Perusahaan yang sudah menunjukkan bahwa mereka akan membayar, dari sudut pandang kriminal, adalah sumber pendapatan yang terbukti. Perusahaan tersebut memiliki modal kerja, tim kepemimpinan yang bersedia mengesahkan pembayaran dengan cepat, dan kemungkinan masih memiliki kerentanan yang memungkinkan serangan pertama berhasil sejak awal.
Poin terakhir itu sangat penting. Membayar tebusan menangani krisis langsung, tetapi jarang memperbaiki celah keamanan mendasar yang memungkinkan penyerang masuk. Jika vektor phishing yang sama, perangkat lunak yang tidak ditambal, atau titik akses jarak jauh yang terekspos masih ada setelah insiden, tidak ada yang menghentikan kelompok yang sama, atau afiliasi yang membeli akses ke data korban yang sama, untuk mencoba lagi. Liputan kami sebelumnya tentang riset Proofpoint mengenai pembayar ransomware membahas lebih dalam seberapa sering insiden berulang ini terjadi dan mengapa pembayaran itu sendiri dapat berfungsi sebagai sinyal bagi kelompok kriminal lain bahwa target tersebut lunak.
Mengurangi Risiko Pemerasan Sebelum Terjadi
Kabar baiknya adalah organisasi tidak berdaya dalam hal ini. Langkah-langkah yang mengurangi risiko ransomware sebagian besar adalah langkah-langkah yang sama yang telah direkomendasikan tim keamanan selama bertahun-tahun, hanya saja sekarang lebih mendesak berdasarkan data ini.
Menjaga cadangan offline yang teruji tetap menjadi satu-satunya cara paling efektif untuk menghindari keputusan membayar atau tidak membayar sejak awal. Jika sistem dapat dipulihkan dari cadangan tanpa menyentuh kunci dekripsi penyerang, seluruh premis pemerasan runtuh. Segmentasi jaringan juga penting: membatasi seberapa jauh penyerang dapat bergerak begitu berada di dalam mengurangi radius ledakan dari setiap kompromi tunggal, yang pada gilirannya mengurangi daya tawar selama negosiasi tebusan.
Pemantauan ancaman berkelanjutan dan deteksi titik akhir membantu menangkap intrusi sebelum meningkat menjadi peristiwa enkripsi penuh. Banyak serangan ransomware berlangsung selama berhari-hari atau berminggu-minggu antara akses awal dan muatan akhir; jendela itu adalah peluang untuk melakukan intervensi. Praktik akses jarak jauh yang aman, termasuk penggunaan VPN untuk koneksi terenkripsi dan autentikasi multi-faktor bagi siapa pun yang masuk dari luar jaringan perusahaan, menutup salah satu titik masuk umum yang dieksploitasi kriminal. Tidak satu pun dari langkah-langkah ini menjamin kekebalan, tetapi bersama-sama mengurangi kemungkinan bisnis akhirnya menghadapi surat tebusan sejak awal.
Apa Artinya Ini bagi Anda
Jika organisasi Anda terkena ransomware, temuan Proofpoint menunjukkan bahwa membayar tidak boleh dianggap sebagai solusi yang bersih. Sebelum mengesahkan pembayaran apa pun, penting untuk menanyakan apakah kerentanan mendasar telah diidentifikasi dan ditutup, karena jika belum, pembayaran mungkin hanyalah cicilan pertama dalam hubungan berkelanjutan dengan penyerang.
Ini juga saatnya untuk melibatkan penegak hukum lebih awal, bukan sebagai pemikiran belakangan. Instansi yang melacak kelompok ransomware terkadang dapat menawarkan alat dekripsi, intelijen ancaman tentang perilaku geng tertentu, atau konteks tentang apakah suatu kelompok memiliki riwayat pemerasan berulang. Melibatkan keahlian respons insiden dari luar sebelum membuat keputusan pembayaran, bukan setelahnya, memberi organisasi gambaran yang lebih jelas tentang opsi sebenarnya.
Untuk bisnis yang lebih kecil tanpa tim keamanan khusus, perhitungannya serupa tetapi sumber dayanya lebih sedikit. Hal itu membuat pencegahan menjadi lebih penting: kebersihan dasar seperti pencadangan rutin, perangkat lunak yang ditambal, dan alat akses jarak jauh yang aman lebih banyak mengurangi risiko daripada yang bisa dilakukan oleh keputusan pasca-insiden mana pun.
Poin-Poin Utama
Pelajaran inti dari survei Proofpoint ini sederhana: pembayaran tebusan membeli waktu, bukan keamanan. Organisasi harus memperlakukan setiap insiden ransomware sebagai bukti adanya celah keamanan yang perlu diperbaiki, terlepas dari apakah pembayaran dilakukan. Langkah-langkah praktis yang perlu diprioritaskan meliputi menjaga cadangan offline, mensegmentasi jaringan, memantau tanda-tanda awal intrusi, dan mengamankan akses jarak jauh dengan autentikasi kuat dan koneksi terenkripsi.
Yang terpenting, setiap keputusan pembayaran harus dibuat bersamaan dengan rencana remediasi yang serius, bukan sebagai penggantinya. Geng ransomware menjalankan bisnis, dan data menunjukkan mereka tahu persis pelanggan mana yang layak ditagih dua kali.
