Ransom Busters: Penipuan Pemulihan Palsu Mengincar Korban Ransomware

Sebuah kelompok yang menyebut dirinya Ransom Busters mengincar audiens yang sudah mengalami minggu yang buruk: korban ransomware. Menurut laporan tentang aktivitas kelompok ini, Ransom Busters mengklaim telah meretas server milik pelaku ransomware itu sendiri dan kini menawarkan kesepakatan kepada para korban: bayar antara $20.000 dan $60.000, dan kelompok ini akan membantu memulihkan file yang terenkripsi serta menghapus data yang dicuri. Kedengarannya seperti penyelamat. Namun kemungkinan besar ini adalah upaya pemerasan kedua yang dibungkus sebagai misi penyelamatan.

Kisah ini penting karena mengungkap masalah yang semakin berkembang dalam ekosistem ransomware: setelah sebuah organisasi diserang sekali, organisasi tersebut menjadi sasaran para aktor oportunistik yang mengeksploitasi kekacauan, ketakutan, dan urgensi yang menyusul pelanggaran tersebut. Memahami cara kerja penipuan pemulihan ransomware palsu ini, serta cara membedakan bantuan nyata dari penipuan, sangat penting bagi organisasi mana pun yang berada di pihak yang salah dalam sebuah serangan.

Apa yang Diklaim Ditawarkan Ransom Busters

Menurut laporan tersebut, Ransom Busters menampilkan dirinya sebagai pihak luar yang telah menyusupi infrastruktur yang digunakan oleh geng ransomware. Tawaran yang disampaikan cukup sederhana: kelompok ini mengatakan dapat memperoleh kemampuan dekripsi atau file yang dicuri, dan dapat memastikan data yang diambil selama serangan awal dihapus daripada dibocorkan. Sebagai imbalannya, para korban diminta membayar biaya mulai dari $20.000 hingga $60.000, jumlah yang cukup besar bagi organisasi yang mungkin sudah terpuruk akibat kerugian operasional, waktu henti, atau tuntutan tebusan awal.

Secara permukaan, bingkai ini meminjam kredibilitas dari bahasa peretasan etis dan riset keamanan siber. Kelompok yang benar-benar menyusupi infrastruktur kriminal memang ada, dan lembaga penegak hukum kadang-kadang berhasil memulihkan kunci dekripsi melalui cara serupa. Tetapi tidak ada verifikasi independen yang terkait dengan klaim Ransom Busters, dan seluruh model ini bergantung pada kepercayaan korban kepada pihak ketiga anonim dengan sejumlah uang setelah sebelumnya sudah pernah menjadi korban sekali.

Cara Kerja Penipuan Ekstorsi Ganda Ini

Mekanismenya sederhana dan efektif secara menyedihkan. Korban ransomware sudah berada di bawah tekanan: sistem mati, pelanggan atau regulator mungkin mengajukan pertanyaan, dan penyerang awal mendorong hitungan mundur. Ke dalam kekacauan itu muncullah sebuah kelompok yang menawarkan jalan pintas, cara untuk membuat masalah hilang dengan biaya yang mungkin terlihat kecil dibandingkan tuntutan tebusan atau biaya waktu henti yang berkepanjangan.

Secara fungsional, ini adalah pemerasan kedua yang ditumpuk di atas pemerasan pertama. Entah Ransom Busters benar-benar memiliki akses ke infrastruktur ransomware atau tidak, struktur insentifnya identik dengan serangan awal: bayar uang kepada pihak yang tidak terverifikasi sebagai imbalan atas sebuah janji. Korban tidak memiliki cara untuk memastikan file akan dipulihkan, bahwa data yang dicuri benar-benar akan dihapus, atau bahwa mereka tidak akan diperas untuk ketiga kalinya di kemudian hari. Pola ini menggemakan taktik yang terlihat dalam insiden-insiden lain yang digerakkan oleh pemerasan, termasuk kasus-kasus di mana kelompok seperti ShinyHunters telah menetapkan tenggat waktu kebocoran publik untuk menekan korban, seperti yang terlihat dalam pelanggaran ShinyHunters yang memengaruhi email Inter-Con Security dan klaim data Kodak yang dikaitkan dengan tenggat waktu kebocoran.

Memverifikasi Layanan Pemulihan yang Sah vs. Penipuan

Meningkatnya tawaran pemulihan palsu menjadikan verifikasi sebagai keterampilan penting bagi organisasi mana pun yang menangani insiden. Beberapa pemeriksaan praktis dapat memisahkan bantuan yang sah dari penipuan. Perusahaan respons insiden yang sah dan kontak penegak hukum dapat diverifikasi melalui jalur yang mapan, lisensi profesional, referensi kasus sebelumnya, dan kontrak keterlibatan formal. Mereka biasanya tidak muncul secara tidak diminta dengan label harga tetap dan klaim telah meretas server penyerang secara pribadi.

Organisasi juga harus skeptis terhadap kontak tidak diminta apa pun setelah insiden ransomware, baik itu mengaku sebagai layanan pemulihan, jurnalis, atau bahkan sesama korban yang menawarkan berbagi catatan. Penyerang dan oportunis sama-sama tahu bahwa perusahaan yang diretas sedang terganggu dan cemas, sehingga menjadikannya sasaran empuk untuk manipulasi lebih lanjut. Melibatkan penyedia respons insiden yang dikenal dan terverifikasi, serta menghubungi penegak hukum, tetap menjadi jalur yang lebih aman dibandingkan berurusan dengan kelompok anonim yang membuat klaim berani melalui obrolan terenkripsi atau forum dark web.

Mengapa Cadangan Data Lebih Unggul daripada Membayar Tebusan Apa Pun

Pertahanan paling tahan lama terhadap tuntutan ransomware asli dan penipuan lanjutan seperti Ransom Busters sangat sederhana: cadangan data yang andal dan teruji. Jika file dapat dipulihkan dari cadangan offline yang bersih, tidak ada alasan untuk bernegosiasi dengan penyerang awal atau melayani pihak ketiga yang menawarkan pemulihan berbayar. Ini menghilangkan daya tawar sepenuhnya.

Industri yang lebih luas sudah bergerak ke arah ini. Sebagaimana dirinci dalam liputan tentang bagaimana pembayaran ransomware menurun di seluruh industri, semakin sedikit organisasi yang memilih membayar tuntutan pemerasan, sebagian karena praktik cadangan data yang lebih baik dan sebagian karena kesadaran yang semakin besar bahwa pembayaran tidak menjamin hasil. Ancaman yang bergerak cepat, seperti varian ransomware Spirals yang mampu mengenkripsi jaringan dalam waktu kurang dari 24 jam, juga menegaskan mengapa pencegahan dan deteksi cepat lebih penting daripada negosiasi pasca-insiden apa pun, baik yang nyata maupun palsu.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda pernah terkena ransomware, perlakukan tawaran pemulihan tidak diminta apa pun, termasuk dari kelompok seperti Ransom Busters, dengan kecurigaan yang sama seperti yang Anda terapkan kepada penyerang awal. Membayar ribuan dolar kepada pihak yang tidak terverifikasi berdasarkan klaim server yang diretas adalah perjudian tanpa jaminan yang dapat ditegakkan. Jalur yang lebih aman dan lebih andal adalah memelihara cadangan offline, melibatkan profesional respons insiden yang terverifikasi, dan melaporkan insiden ke penegak hukum daripada bernegosiasi dalam kegelapan.

Poin-Poin Utama

• Perlakukan tawaran pemulihan ransomware tidak diminta apa pun sebagai penipuan potensial sampai diverifikasi secara independen.
• Jangan pernah mengirim pembayaran kepada pihak ketiga yang mengklaim akses server tanpa bukti terdokumentasi dan ketentuan keterlibatan formal.
• Pertahankan cadangan offline yang teruji sehingga tuntutan tebusan, baik nyata maupun palsu, kehilangan daya tariknya sepenuhnya.
• Laporkan insiden ransomware ke penegak hukum dan bekerja sama dengan perusahaan respons insiden yang mapan daripada kelompok anonim.
• Perhatikan tren industri: karena pembayaran ransomware menurun secara keseluruhan, penyerang dan oportunis beradaptasi dengan skema seperti tawaran pemulihan palsu, jadi tetap waspada terhadap variasi baru dari taktik tekanan yang sama.