Ketika sebuah catatan tebusan muncul di layar perusahaan, naluri sering kali memperlakukannya sebagai darurat TI: isolasi jaringan, panggil tim keamanan, nilai kerusakan pada server. Namun semakin banyak panduan, yang terbaru diuraikan oleh Cyber Daily dalam pembahasannya tentang pengambilan keputusan pemerasan siber, memperjelas bahwa membayar atau menolak tebusan jauh lebih besar daripada sekadar pilihan teknis. Ini adalah keputusan hukum, finansial, dan di atas segalanya, keputusan privasi yang menyentuh setiap pelanggan, karyawan, dan mitra yang datanya berada di dalam sistem yang diretas.
Ranjau Hukum di Balik Keputusan Tebusan
Salah satu aspek yang paling sering diabaikan dari pemerasan siber adalah bahwa membayar para pelaku kejahatan tidak selalu jelas secara hukum. Tergantung pada siapa yang berada di balik serangan, pembayaran tebusan dapat mengekspos organisasi pembayar pada risiko sanksi, khususnya ketika pelaku ancaman atau infrastrukturnya terkait dengan entitas atau yurisdiksi yang terkena sanksi. Organisasi yang terburu-buru membayar tanpa peninjauan hukum dapat menghadapi pengawasan regulasi di samping pelanggaran itu sendiri. Seperti diuraikan dalam liputan kami sebelumnya tentang bagaimana pembayaran ransomware berisiko sanksi OFAC, keputusan untuk membayar bukan hanya tentang apakah perusahaan mampu memenuhi tuntutan tersebut. Ini tentang apakah pembayaran itu sendiri legal, dan apakah organisasi telah melakukan uji tuntas untuk mengetahuinya.
Inilah mengapa tanggapan terhadap pemerasan siber tidak bisa hanya berada di departemen TI. Penasihat hukum, pejabat kepatuhan, dan sering kali penegak hukum perlu menjadi bagian dari percakapan sejak momen paling awal, bukan dibawa setelah pembayaran sudah dikirimkan.
Mengapa Ini Masalah Privasi, Bukan Hanya Masalah TI
Dulu ransomware biasanya terkait dengan penguncian berkas. Itu telah berubah. Kelompok pemeras modern semakin sering mencuri data sebelum mengenkripsi apa pun, lalu menggunakan ancaman pemaparan sebagai daya tawar. Pergeseran itu mengubah setiap insiden ransomware menjadi insiden privasi data, terlepas dari apakah sistem akhirnya dipulihkan.
Kita telah melihat evolusi ini berakselerasi secara langsung. Beberapa kelompok telah melampaui mengancam organisasi korban secara langsung dan sekarang mengancam untuk menghubungi pelanggan perusahaan sendiri, memberikan tekanan dengan menargetkan orang-orang yang informasi pribadinya benar-benar dipertaruhkan. Taktik itu mengubah perhitungan sepenuhnya: bahkan pembayaran tebusan penuh tidak menjamin bahwa data pelanggan yang dicuri tidak akan bocor, dijual, atau digunakan untuk pemerasan lebih lanjut.
Organisasi yang menimbang tuntutan tebusan perlu bertanya bukan hanya "dapatkah kami memulihkan sistem kami" tetapi "apa yang terjadi pada data pribadi semua orang di sistem kami, apa pun yang kami putuskan." Pembayaran tebusan mungkin membeli kunci dekripsi. Itu tidak menghapus fakta bahwa data sensitif telah terpapar kepada penjahat sejak awal.
Membayar Tidak Menjamin Keamanan
Bahkan ketika organisasi membayar, tidak ada bukti yang dapat diandalkan bahwa itu mengakhiri masalah. Penelitian dari Proofpoint menemukan bahwa bagian signifikan dari perusahaan yang membayar tebusan menghadapi upaya pemerasan berulang, kadang-kadang dari penyerang yang sama yang kembali untuk pembayaran kedua. Data itu memotong salah satu justifikasi paling umum untuk membayar: keyakinan bahwa itu membuat masalah hilang.
Beberapa organisasi telah memilih jalur yang sama sekali berbeda. Stadler Rail, produsen kereta api Swiss, secara terbuka menolak permintaan tebusan jutaan dolar setelah penyerang mencuri data melalui vendor pihak ketiga, bertaruh bahwa penolakan lebih tidak berisiko daripada melegitimasi ekonomi pemerasan. Sementara itu, lanskap ransomware terus bergeser; sebuah rangkuman industri terbaru yang melacak kelompok mana yang mendominasi lingkungan ancaman saat ini menunjukkan bahwa membayar satu geng tidak mengurangi risiko keseluruhan dari puluhan geng lain yang masih aktif.
Apa Artinya Ini Bagi Anda
Baik Anda menjalankan bisnis kecil atau mengelola keamanan untuk perusahaan besar, keputusan bayar-atau-tidak-bayar tidak boleh dibuat secara terisolasi oleh siapa pun yang mengelola server. Ini memerlukan peninjauan hukum untuk paparan sanksi dan regulasi, penilaian privasi tentang data apa tepatnya yang diakses, dan pemahaman realistis bahwa pembayaran tidak menawarkan jaminan terhadap pemerasan atau kebocoran di masa depan. Untuk konsumen sehari-hari, pesannya berbeda namun terkait: keamanan data pribadi Anda setelah pelanggaran sangat bergantung pada keputusan yang dibuat oleh perusahaan yang mungkin tidak pernah Anda interaksi langsung, itulah mengapa memahami bagaimana organisasi menangani pemerasan siber penting bahkan jika bukan Anda yang menghadapi catatan tebusan.
Hal-Hal yang Dapat Ditindaklanjuti
Organisasi harus membangun rencana tanggap insiden sebelum serangan terjadi, yang secara eksplisit mencakup penasihat hukum dan penilaian privasi di samping pemulihan teknis. Jangan pernah memperlakukan keputusan tebusan sebagai murni finansial; risiko sanksi dan kepatuhan adalah nyata dan dapat memperparah pelanggaran awal. Asumsikan bahwa setiap data yang dieksfiltrasi mungkin sudah dikompromikan terlepas dari pembayaran, dan rencanakan pemberitahuan pelanggan dan karyawan sesuai. Akhirnya, ingatlah bahwa strategi jangka panjang paling aman melawan pemerasan siber bukanlah pembayaran tebusan yang cepat, melainkan pertahanan yang lebih kuat yang mencegah upaya pemerasan berhasil sejak awal.
