Å betale en løsepengegjeng har aldri vært noen garanti for sikkerhet, men ny forskning setter et konkret tall på hvor ofte denne sjanseseilingen slår feil. Ifølge ferske funn betalte 58 % av britiske organisasjoner som ble rammet av løsepengevirus den krevde løsepengen, og 22 % av disse betalerne ble utsatt for et nytt utpresningsforsøk. Budskapet til IT-team og alle som får personopplysninger gjennom bedriftsnettverk, er at den gamle strategien «betal og gå videre» ikke lenger holder vann.

Den nye virkeligheten: Betaling avslutter ikke angrepet

Løsepengevirus fulgte tidligere et ganske forutsigbart mønster: angripere krypterer filene dine, du betaler, du får en dekrypteringsnøkkel, og hendelsen er avsluttet. Dette manuset er skrevet om. Overgangen til dobbel utpressing, der angripere stjeler data før de krypterer dem og truer med å lekke disse dataene uavhengig av betaling, betyr at en løsepengetransaksjon ikke avgjør noe. Tallet på 22 % som viser gjentatt utpressing mot organisasjoner som allerede har betalt, bekrefter det mange sikkerhetsforskere har advart om i årevis: når dataene dine først er ute av huset, har du ingen reell kontroll over hva som skjer med dem videre. En kriminell gruppe som har fått betalt én gang, har alle insentiver til å komme tilbake, enten det er den samme aktøren eller en annen som jobber ut fra videresolgt tilgang.

Spesielt for Windows-administratorer endrer dette kalkylen rundt hendelseshåndtering. Gjenoppretting fra sikkerhetskopi ble tidligere sett på som alternativet til å betale. Nå må det behandles som grunnforventningen, fordi betaling ikke pålitelig stopper lekkasjen på datatyverisiden. Testede, frakoblede sikkerhetskopier, sterk identitetssikkerhetskontroll og en dokumentert gjenopprettingsplan er det som faktisk bryter syklusen, ikke en pengeoverføring til en anonym lommebok.

KI gir et superladet førstegangsangrep

Det andre store temaet i denne forskningen er den voksende rollen til kunstig intelligens i de tidlige fasene av et angrep. Førstegangsangrepet, øyeblikket der angripere først får fotfeste i et nettverk, er der KI-verktøy angivelig har størst innvirkning. Raskere rekognosering, mer overbevisende phishing-agn og raskere identifisering av utnyttbare svakheter krymper alle vinduet forsvarerne har til å legge merke til at noe er galt før skade skjer.

Dette er viktig fordi de fleste løsepengeforsvar fortsatt er bygget rundt antakelsen om at angripere trenger tid til å bevege seg gjennom et nettverk før de gjør alvorlig skade. Hvis KI komprimerer denne tidslinjen, blir organisasjoner som utelukkende baserer seg på periodiske oppdateringssykluser og manuell overvåking, stadig mer utsatt. Det understreker hvorfor identitetssikkerhet – slik som flerfaktorautentisering, administrasjon av privilegert tilgang og rask avviksdeteksjon – har blitt like viktig som endepunktsbeskyttelse.

Hvorfor datatyveri er den egentlige personvernhistorien

Mens krypterte filer får de fleste overskriftene, setter dobbel utpressing søkelyset på noe som betyr mer for folk flest: selve dataene. Hvert løsepengehendelse som involverer stjålne HR-registre, kundedatabaser eller ansattfiler, er i bunn og grunn en personvernhendelse. Tenk på hvordan bruddet på Sør-Afrikas statistikkbyrås HR-system eksponerte ansattdata, et tilfelle som illustrerer hvordan interne systemer som inneholder sensitiv personinformasjon kan bli det faktiske målet, ikke bare en utilsiktet skade fra et bredere angrep. Når løsepengegrupper eksfiltrerer denne typen data før de låser systemene, gjør betaling av løsepenger ingenting for å endre det faktum at navn, lønninger, adresser eller helseopplysninger kanskje allerede ligger på en kriminell server, eller allerede er til salgs.

Dette er den delen som ofte mangler i rent teknisk løsepenge-dekning: det andre utpresningsforsøket er ikke bare en hodepine for selskapet, det er en ny bølge av eksponering for enkeltpersonene hvis data ble stjålet i utgangspunktet. Ansatte, kunder og pasienter får sjelden noe de skulle ha sagt om organisasjonen betaler, likevel bærer de den vedvarende risikoen for identitetstyveri, målrettet phishing eller svindel lenge etter at overskriftene har bleknet.

Hva dette betyr for deg

Hvis du jobber innen IT eller sikkerhet, er disse dataene et tydelig signal om å slutte å behandle løsepengebetaling som en løsning og begynne å behandle det som et siste utvei. Gjenopprettingsplaner, uforanderlige sikkerhetskopier og identitetsfokusert forsvar fortjener mer budsjett og testtid enn de vanligvis får. Hvis du er en ansatt eller kunde hos en organisasjon som har meldt om et løsepengehendelse, anta at dataene dine kan ha blitt kopiert selv om du får beskjed om at systemene ble «gjenopprettet». Overvåk kontoene dine, se etter phishing-forsøk som refererer til bruddet, og vurder kredittovervåking hvis sensitive personopplysninger eller økonomiske data var involvert.

Konkrete tiltak

Organisasjoner bør jevnlig revidere integriteten til sikkerhetskopier og verifisere at sikkerhetskopiene virkelig er isolert fra produksjonsnettverket. Flerfaktorautentisering og minste-privilegium-tilgang bør være ufravikelige på tvers av alle systemer, ikke bare de kritiske. Hendelseshåndteringsplaner må eksplisitt ta for seg dobbel utpressing, inkludert juridiske og kommunikasjonsmessige skritt for når stjålne data dukker opp offentlig. Enkeltpersoner som er berørt av en løsepengehendelse, bør endre passord, aktivere flerfaktorautentisering der det er tilgjengelig, og være på vakt mot oppfølgingssvindel. Dataene viser tydelig at dobbel utpressing i løsepengeangrep ikke lenger er et sjeldent grensetilfelle – det er i ferd med å bli en standard del av angrepssyklusen, og forberedelse er det eneste reelle forsvaret.