Sebuah survei industri baru menambahkan data nyata pada peringatan yang telah diulangi oleh para profesional keamanan selama bertahun-tahun: membayar geng ransomware jarang mengakhiri masalah, dan seringkali memperburuknya. Menurut laporan tentang temuan tersebut, organisasi yang membayar tebusan menghadapi peluang yang jauh lebih tinggi untuk menjadi sasaran lagi, terkadang oleh penyerang yang sama, dalam jangka waktu yang relatif singkat setelahnya.
Survei ini menambah semakin banyak bukti bahwa pembayaran ransomware tidak berfungsi sebagai transaksi yang bersih. Sebaliknya, hal itu dapat memberi sinyal kepada kelompok kriminal bahwa target bersedia dan mampu membayar, menjadikan organisasi tersebut sebagai target masa depan yang lebih menarik daripada kasus yang sudah selesai.
Temuan Survei
Riset yang disoroti dalam laporan tersebut menunjuk pada pola yang meresahkan: sebagian besar organisasi yang membayar permintaan tebusan diperas kembali setelahnya, baik melalui ancaman baru dari penyerang awal atau melalui serangan lanjutan dari kelompok yang berbeda. Siklus pemerasan berulang ini melemahkan logika dasar yang sering mendorong keputusan pembayaran sejak awal, yaitu gagasan bahwa membayar dengan cepat menyelesaikan insiden dan membatasi kerusakan lebih lanjut.
Sebaliknya, data menunjukkan hal sebaliknya bisa terjadi. Penyerang mungkin menyimpan salinan data yang dicuri bahkan setelah tebusan dibayar, dan beberapa korban melaporkan dihubungi kembali dengan tuntutan baru terkait file curian yang sama. Yang lain telah dihantam oleh intrusi yang sepenuhnya baru, menunjukkan bahwa pembayaran mungkin menandai suatu organisasi sebagai target empuk dalam jaringan kriminal yang berbagi informasi tentang korban mana yang sebelumnya telah membayar.
Mengapa Pembayaran Tidak Menjamin Pemulihan
Instansi pemerintah dan koalisi internasional telah berulang kali menyarankan agar tidak membayar tebusan, dengan alasan bahwa pembayaran tidak menjamin pemulihan data, tidak menjamin penghapusan informasi yang dicuri, dan secara langsung mendanai ekosistem kriminal di balik serangan di masa depan. Data survei terbaru memperkuat posisi tersebut dengan angka-angka konkret, bukan hanya panduan kebijakan.
Ini menciptakan posisi sulit bagi organisasi yang menghadapi insiden ransomware aktif. Tekanan operasional, terutama di sektor seperti layanan kesehatan, logistik, atau jasa keuangan, dapat mendorong pimpinan untuk membayar semata-mata demi memulihkan sistem dan membatasi gangguan bisnis. Tetapi temuan survei menunjukkan bahwa kelegaan jangka pendek mungkin harus dibayar dengan risiko jangka panjang, karena membayar tidak menghapus data curian dari peredaran dan mungkin tidak mencegah serangan kedua.
Implikasi privasi yang lebih luas sangatlah signifikan. Insiden ransomware semakin melibatkan pencurian data bersamaan dengan enkripsi, yang berarti organisasi korban, dan lebih lanjut pelanggan atau pasien mereka, menghadapi paparan terlepas dari apakah tebusan dibayar atau tidak. Data pribadi yang diambil selama serangan dapat dijual, dibocorkan, atau ditahan untuk putaran kedua pemerasan bahkan setelah pembayaran, membuat individu yang terkena dampak memiliki sedikit visibilitas tentang apa yang terjadi pada informasi mereka. Ini adalah bagian dari tren yang lebih luas di mana organisasi dan pemerintah bergulat dengan bagaimana data pribadi dikumpulkan, disimpan, dan diekspos, sebuah kekhawatiran yang menggema dalam perdebatan di area kebijakan lain, seperti pengawasan terhadap persyaratan kebijakan visa AS yang baru untuk profil media sosial publik, di mana informasi pribadi menjadi subjek akses dan risiko dalam bentuk baru.
Apa Artinya Bagi Anda
Bagi konsumen individu, dampak langsung dari keputusan pembayaran ransomware mungkin tampak jauh, tetapi sebenarnya tidak. Banyak serangan ransomware menargetkan organisasi yang menyimpan data pribadi: rumah sakit, sekolah, pengecer, dan penyedia layanan. Terlepas dari apakah tebusan dibayar atau tidak, paparan nama, alamat, detail keuangan, atau catatan kesehatan seringkali sudah berlangsung begitu penyerang mengeksfiltrasi data. Membayar tebusan tidak serta merta melindungi informasi tersebut dari kemunculan kembali nanti, baik melalui kebocoran, penjualan kembali, atau upaya pemerasan kedua terhadap organisasi yang sama.
Bagi bisnis dan pengambil keputusan TI, temuan survei menegaskan bahwa pembayaran tebusan tidak boleh dianggap sebagai resolusi yang terjamin. Perencanaan pemulihan, respons insiden, dan komunikasi dengan regulator serta pelanggan yang terkena dampak sama pentingnya, jika tidak lebih, daripada keputusan pembayaran itu sendiri.
Membangun Strategi Respons yang Lebih Kuat
Pesan konsisten dari peneliti keamanan, instansi pemerintah, dan kini data survei ini adalah bahwa pencegahan dan persiapan lebih utama daripada pembayaran reaktif. Itu berarti memelihara cadangan offline, menguji rencana respons insiden sebelum serangan terjadi, dan memiliki protokol yang jelas untuk melibatkan penegak hukum sejak dini alih-alih memperlakukan pembayaran sebagai langkah pertama default.
Bagi pembaca awam, kesimpulan praktisnya adalah tetap waspada terhadap notifikasi pelanggaran dari organisasi mana pun yang berinteraksi dengan Anda, karena dampak ransomware dapat memengaruhi Anda bahkan jika Anda tidak pernah melihat berita utamanya. Pertimbangkan untuk menggunakan kata sandi yang kuat dan unik di seluruh akun, mengaktifkan autentikasi multi-faktor jika tersedia, dan memantau akun keuangan serta terkait kesehatan untuk aktivitas yang tidak biasa setelah setiap insiden yang dilaporkan.
Ransomware tidak akan hilang, dan perdebatan tentang apakah akan membayar akan terus berlanjut. Tetapi semakin banyak bukti bahwa pembayaran seringkali mengundang pemerasan berulang seharusnya mendorong organisasi dan individu menuju pendekatan yang lebih skeptis dan mengutamakan persiapan daripada memperlakukan pembayaran tebusan sebagai perbaikan cepat.
