Apa yang Ditunjukkan Data Pembayaran Ransomware Terbaru

Laporan terbaru dari perusahaan keamanan Proofpoint, yang diterbitkan Rabu lalu, memberikan konfirmasi yang tidak mengenakkan bagi siapa pun yang pernah mempertimbangkan untuk membayar komplotan ransomware demi menyelesaikan masalah: sebagian besar korban yang membayar akhirnya menghadapi tuntutan pemerasan kedua. Laporan ini memperkuat apa yang telah lama dikemukakan oleh para peneliti keamanan dan penanggap insiden, bahwa negosiasi ransomware tidak dilakukan dengan itikad baik, dan membayar tidak menjamin penyerang akan benar-benar pergi begitu saja.

Data Proofpoint menambahkan angka konkret pada pola yang telah lama dicurigai secara anekdotal oleh para pembela. Organisasi yang mematuhi tuntutan tebusan tidak membeli kata "tamat." Mereka sering kali justru membeli putaran kedua leverage bagi penyerang yang sama, atau bagi kelompok yang sama sekali berbeda, untuk kembali dan meminta lebih banyak.

Mengapa Membayar Tebusan Mengundang Serangan Kedua

Logika di balik pemerasan berulang cukup sederhana setelah Anda memikirkannya dari sudut pandang penyerang. Seluruh model bisnis kelompok ransomware bergantung pada keyakinan korban bahwa pembayaran mengakhiri krisis. Namun, tidak ada kontrak hukum, tidak ada mekanisme penegakan, dan tidak ada risiko reputasi yang cukup kuat untuk menjamin kata-kata penyerang begitu uang sudah dipindahkan. Jika korban telah menunjukkan kesediaan dan kemampuan untuk membayar, korban tersebut justru menjadi target yang lebih menarik, bukan akun yang lunas.

Inilah salah satu alasan mengapa peneliti keamanan menggambarkan negosiasi ransomware sebagai hal yang secara fundamental berbeda dari transaksi bisnis normal. Tidak ada insentif bagi pihak satunya untuk benar-benar pergi. Kelompok kriminal yang berhasil memeras pembayaran sekali memiliki semua alasan untuk menguji apakah organisasi yang sama akan membayar lagi, baik dengan mengenkripsi ulang sistem, mengancam akan membocorkan data yang sebelumnya dicuri untuk kedua kalinya, atau sekadar membuka kembali tuntutan baru yang terkait dengan pelanggaran awal.

Dinamika ini erat kaitannya dengan apa yang disebut industri sebagai pemerasan ganda atau multi-pemerasan, di mana penyerang tidak hanya mengenkripsi file tetapi juga mencuri data terlebih dahulu, memberi mereka banyak titik tekanan untuk memeras korban bahkan setelah tebusan dibayar. Temuan Proofpoint menunjukkan bahwa bahkan setelah kampanye tekanan awal itu berhasil, sumur tersebut belum tentu kering.

Bagaimana Pelanggaran yang Tidak Terdeteksi Mempermudah Pemerasan Ulang

Salah satu alasan pemerasan berulang sangat efektif bagi penyerang adalah bahwa banyak korban tidak sepenuhnya memahami cakupan pelanggaran pada saat mereka memutuskan untuk membayar. Jika sebuah organisasi menemukan file terenkripsi dan menegosiasikan tebusan tanpa terlebih dahulu mengidentifikasi data apa yang benar-benar diakses, disalin, atau ditinggalkan sebagai pintu belakang, mereka secara efektif telah menyetujui harga tanpa mengetahui apa yang sebenarnya mereka beli kembali.

Kesenjangan antara deteksi dan respons ini adalah tema yang berulang dalam penelitian ransomware. Seperti yang dibahas dalam laporan terkait tentang kegagalan deteksi ransomware, hampir setengah dari semua korban ransomware kehilangan data bahkan sebelum mereka menyadari bahwa serangan sedang berlangsung. Keterlambatan itu sangat penting di sini: jika korban tidak tahu bahwa penyerang telah mengekstrak data berminggu-minggu sebelum meluncurkan ransomware, membayar untuk membuka file tidak berbuat apa-apa terhadap informasi curian yang tersimpan di server kriminal, yang dapat dimonetisasi kembali melalui tuntutan kedua, dijual secara terpisah, atau digunakan untuk ancaman kebocoran baru di kemudian hari.

Langkah Defensif: Pencadangan, Pemantauan, dan Perencanaan Respons Insiden

Kesimpulan praktis dari laporan Proofpoint bukanlah bahwa pembayaran tebusan tidak boleh dilakukan dalam keadaan apa pun. Melainkan bahwa pembayaran tidak boleh dianggap sebagai resolusi yang terjamin. Organisasi, dan individu yang mengelola jaringan atau bisnis yang lebih kecil, lebih baik berinvestasi di hulu pada pencegahan dan deteksi daripada di hilir pada negosiasi.

Itu berarti memelihara cadangan offline yang teratur dan teruji sehingga file terenkripsi dapat dipulihkan tanpa membayar siapa pun. Itu berarti berinvestasi dalam alat pemantauan yang dapat menangkap akses data tidak sah sebelum penyerang memiliki waktu untuk mengekstrak volume besar informasi sensitif. Dan itu berarti memiliki rencana respons insiden sebelum serangan terjadi, yang mencakup investigasi forensik untuk menentukan dengan tepat apa yang diakses, bukan hanya apakah file dienkripsi.

Apa Artinya Ini untuk Anda

Bagi para pemilik usaha kecil dan individu, pesan dari penelitian ini jelas: jangan berasumsi bahwa membayar tebusan adalah solusi cepat dan bersih seperti yang terlihat pada saat itu. Penyerang yang telah terbukti bersedia memeras Anda sekali memiliki baik cara maupun motif untuk melakukannya lagi. Pertahanan nyata terhadap serangan pemerasan berulang ransomware bukanlah strategi negosiasi yang lebih baik, melainkan mengurangi kemungkinan Anda berada di posisi itu sejak awal melalui cadangan yang kuat, deteksi yang lebih cepat, dan rencana respons yang jelas.

Poin-Poin yang Dapat Ditindaklanjuti

  • Perlakukan pembayaran tebusan sebagai upaya terakhir, bukan perbaikan yang dijamin, karena data Proofpoint menunjukkan penyerang sering kembali dengan tuntutan baru.
  • Prioritaskan cadangan offline yang teruji sehingga enkripsi saja tidak dapat memaksakan keputusan pembayaran.
  • Investasikan pada alat deteksi yang menangkap eksfiltrasi data sejak dini, karena deteksi yang terlambat memberi penyerang lebih banyak leverage untuk pemerasan berulang.
  • Bangun rencana respons insiden sebelum serangan terjadi, termasuk langkah-langkah forensik untuk menentukan cakupan penuh dari setiap pelanggaran.
  • Anggap bahwa setiap data yang dicuri sebelum tebusan dibayar tetap menjadi risiko di masa depan, terlepas dari apa yang dijanjikan penyerang.