Mesin Uang Sesungguhnya dari Ransomware Bukanlah Enkripsi

Selama bertahun-tahun, pertahanan ransomware berfokus pada satu momen: detik ketika berkas terkunci. Namun temuan baru yang diliput oleh The National CIO Review memperjelas bahwa enkripsi seringkali menjadi bagian yang paling tidak berharga dari serangan ransomware bagi para penjahat di baliknya. Keuntungan sesungguhnya berasal dari pencurian data, dan keuntungan itu tidak berhenti ketika tebusan dibayar atau sistem dipulihkan.

Menurut laporan tersebut, 54% organisasi yang terkena dampak membayar tuntutan tebusan. Hal itu sendiri tidak mengejutkan mengingat betapa mengganggunya sistem yang terenkripsi. Yang menonjol adalah apa yang terjadi selanjutnya: 37% dari organisasi yang membayar itu kemudian menerima tuntutan lain dari penyerang yang sama atau berbeda. Dengan kata lain, lebih dari sepertiga korban yang mengira他们已经 menutup insiden tersebut mendapati diri mereka kembali ke titik awal, bernegosiasi lagi atas data curian yang sama.

Mengapa Data Curian Terus Menghasilkan Uang bagi Penyerang

Begitu penyerang mengeksfiltrasi data sebelum menyebarkan enkripsi, mereka mendapatkan banyak aliran pendapatan terpisah yang tidak bergantung pada sistem korban yang tetap terkunci. Laporan tersebut menguraikan beberapa di antaranya:

  • Ancaman pengungkapan publik: Penyerang mengancam akan membocorkan berkas sensitif kecuali pembayaran kedua dilakukan, bahkan setelah tebusan asli untuk kunci dekripsi.
  • Penjualan kembali data curian: Informasi dijual di pasar kriminal kepada pelaku ancaman lain, terlepas dari apakah korban asli membayar sesuatu.
  • Penyalahgunaan kredensial: Nama pengguna, kata sandi, dan token akses yang ditemukan dalam berkas curian digunakan kembali untuk mengkompromikan akun atau sistem lain, terkadang di organisasi mitra atau vendor.
  • Serangan lanjutan: Rincian yang dikumpulkan dari pelanggaran, seperti diagram jaringan, kontrak vendor, atau komunikasi internal, membuat intrusi di masa mendatang menjadi lebih mudah dan lebih terarah.

Inilah mengapa peneliti keamanan semakin menggambarkan ransomware modern sebagai masalah pencurian data dengan enkripsi yang menyertainya, bukan sebaliknya. Enkripsi mengganggu operasi selama berhari-hari atau berminggu-minggu. Data curian dapat dipersenjatai selama berbulan-bulan atau bertahun-tahun.

Contoh terkini dari dinamika ini yang terjadi di depan umum melibatkan pelanggaran Tata Electronics yang membocorkan rahasia iPhone 18 Pro, di mana kelompok ransomware yang menyebut dirinya World Leaks menerbitkan informasi produk sensitif yang belum dirilis setelah mendapatkan akses ke sistem internal. Kasus seperti ini menggambarkan bagaimana data perusahaan yang dicuri tetap bernilai bagi penyerang jauh melampaui intrusi awal, dan bagaimana ancaman pengungkapan saja dapat memaksa organisasi ke dalam keputusan sulit bahkan tanpa muatan enkripsi yang berfungsi.

Mengapa Membayar Tidak Menjamin Cerita Berakhir

Angka tuntutan berulang sebesar 37% patut mendapat perhatian khusus karena melemahkan asumsi umum: bahwa membayar tebusan menutup insiden tersebut. Pada kenyataannya, begitu data telah meninggalkan jaringan organisasi, korban tidak memiliki cara untuk memverifikasi bahwa salinannya telah dimusnahkan, bahwa penyerang tidak akan menjual kembali informasinya, atau bahwa kelompok lain belum memperoleh berkas yang sama. Pembayaran mengatasi masalah enkripsi. Itu tidak melakukan apa pun untuk mengatasi masalah pencurian data, karena data itu sudah di luar kendali korban begitu dieksfiltrasi.

Ini memiliki implikasi langsung pada bagaimana organisasi berpikir tentang kesiapan ransomware. Perencanaan pencadangan dan pemulihan penting untuk membuat sistem kembali online, tetapi tidak melakukan apa pun untuk mencegah kebocoran, penjualan kembali, atau upaya pemerasan kedua. Mencegah eksfiltrasi sejak awal, melalui segmentasi jaringan, kontrol akses yang ketat, dan meminimalkan berapa banyak data sensitif yang disimpan atau dapat dijangkau, sama pentingnya dengan perencanaan pemulihan.

Apa Artinya Ini Bagi Anda

Baik Anda mengelola TI untuk bisnis kecil atau sekadar melindungi akun Anda sendiri, pelajaran dari data ini sama: anggaplah bahwa setiap pelanggaran yang melibatkan informasi Anda dapat mengakibatkan paparan yang berkelanjutan, bukan insiden tunggal. Jika perusahaan yang berinteraksi dengan Anda mengungkapkan serangan ransomware, perlakukan itu sebagai risiko terbuka. Kata sandi yang digunakan kembali, kredensial akun lama, dan detail pribadi yang terkait dengan pelanggaran itu dapat muncul kembali dalam upaya pengisian kredensial atau penipuan lanjutan lama setelah berita utama memudar.

Bagi organisasi, kesimpulannya adalah memperlakukan minimalisasi data dan segmentasi jaringan sebagai pertahanan inti ransomware, bukan renungan. Membatasi data sensitif apa yang dapat diakses dari satu titik yang dikompromikan mengurangi berapa banyak yang dapat dicuri penyerang bahkan jika mereka berhasil masuk.

Kesimpulan yang Dapat Ditindaklanjuti

  • Gunakan kata sandi unik untuk setiap akun dan perbarui jika Anda diberitahu tentang pelanggaran yang melibatkan data Anda, bahkan berbulan-bulan kemudian.
  • Aktifkan otentikasi multi-faktor di mana pun dimungkinkan untuk menumpulkan nilai kredensial yang dicuri.
  • Jika Anda menjalankan bisnis, audit data sensitif apa yang disimpan dan siapa yang dapat mengaksesnya; lebih sedikit data yang terpapar berarti lebih sedikit daya ungkit bagi penyerang.
  • Jangan berasumsi insiden ransomware selesai begitu tebusan dibayar atau sistem dipulihkan. Pantau tanda-tanda data bocor atau upaya pemerasan baru.
  • Segmentasikan jaringan sehingga satu perangkat atau akun yang dikompromikan tidak dapat mengekspos seluruh lingkungan data Anda.

Keunggulan terbesar ransomware bukanlah enkripsi yang menjadi berita utama. Melainkan pencurian data yang terjadi secara diam-diam sebelumnya dan terus menghasilkan nilai bagi penyerang lama setelah krisis awal tampaknya teratasi.