34 % av ANZ-bedrifter betaler fortsatt løsepenger, viser studie

En tredjedel av ANZ-organisasjoner velger fortsatt å betale

Ny forskning fra Commvault har bekreftet det mange sikkerhetsfolk lenge har mistenkt: Å betale et løsepengekrav er langt fra en pålitelig løsning. Selskapets rapport State of Data Resilience ANZ 2026 fant at 34 % av organisasjoner i Australia og New Zealand som opplevde et løsepengeangrep, likevel betalte løsepengene, til tross for at de ikke hadde noen reell garanti for at dataene deres ville bli returnert eller systemene gjenopprettet til normal drift.

Funnet kommer på et tidspunkt der løsepengeangrep har blitt mindre av en sjelden krisehendelse og mer av en operasjonell realitet for bedrifter i regionen. Likevel blir beslutningen om å betale i mange tilfeller fortsatt tatt under ekstremt press, midt i en pågående hendelse, snarere enn som del av en rolig, planlagt responsstrategi.

Hvorfor betaling sjelden løser det egentlige problemet

Den viktigste detaljen i Commvaults funn er ikke at organisasjoner betaler, men hva som skjer etterpå. Å utbetale løsepenger betyr ikke automatisk at stjålne eller krypterte data kommer tilbake intakte, eller at angriperen sletter kopiene de tok før de låste systemene. Denne forskjellen har enorm betydning fra et personvernperspektiv. Mange løsepengehendelser i dag innebærer både datatyveri og kryptering, noe som betyr at kunderegistre, ansattopplysninger eller finansiell informasjon allerede kan ha forlatt organisasjonens nettverk før noen samtale om løsepenger i det hele tatt begynner.

En relatert undersøkelse som dekker samme region, understreker dette poenget. Den forskningen fant at 36 % av løsepengeutbetalingene ikke klarer å gjenopprette data, noe som betyr at mer enn en tredel av organisasjonene som betalte, likevel endte opp uten at systemene eller filene deres fungerte som de skulle. Å betale er med andre ord ikke en transaksjon med et garantert utfall. Det er en gambling med en motpart som ikke har noen juridisk eller omdømmemessig forpliktelse til å følge opp.

For organisasjoner som besitter sensitive personopplysninger, enten det er helsejournaler, økonomiske detaljer eller kundeidentitetsinformasjon, skaper dette en sammensatt personvernrisiko. Selv en vellykket betaling opphever ikke eksponeringen som allerede har skjedd. Data som ble kopiert av angripere før kryptering, kan fortsatt lekkes, selges eller brukes til ytterligere utpressing uavhengig av om det ble betalt løsepenger. Commvaults forskning tyder på at for mange ANZ-organisasjoner behandler løsepengeutbetaling som en gjenopprettingsstrategi, mens den i praksis fungerer mer som et veddemål inngått etter at skaden allerede har skjedd.

Presset med å beslutte i en krise

En del av det som gjør dette mønsteret vedvarende, er miljøet beslutningene tas i. Løsepengeangrep har en tendens til å eskalere raskt, og låser ofte ansatte ute av kritiske systemer i løpet av timer. Under den typen press, med driftsstans og kunder eller partnere som stiller spørsmål, kan betaling føles som den raskeste veien tilbake til normalen. Commvaults rapport beskriver dette som at organisasjoner tar høyinnsatsbeslutninger om løsepengeangrep midt i en krise, snarere enn som del av en testet, eksisterende plan.

Nettopp derfor betyr forberedelse så mye mer enn reaksjon når beslutninger tas i en krise. Organisasjoner med testede sikkerhetskopieringssystemer, tydelige hendelsesresponsplaner og på forhånd avtalte kriterier for om de skal gå i dialog med angripere, står langt sterkere enn de som improviserer i sanntid. Dataene tyder på at mange ANZ-bedrifter ennå ikke har nådd det beredskapsnivået, og i stedet tyr til betaling fordi det ser ut til å være den eneste tilgjengelige løsningen i øyeblikket.

Hva dette betyr for deg

Hvis du er forbruker, ansatt eller kunde hos en organisasjon, er denne forskningen en påminnelse om at en bedrifts løsepengeutbetaling ikke betyr at dataene dine er trygge. Selv om en virksomhet kunngjør at den har løst en hendelse, kan informasjon som ble eksponert under angrepet, fortsatt være i omløp. Det er verdt å følge med på varsler om databrudd fra tjenester du bruker, og ta dem på alvor selv om organisasjonen opplyser at det ble betalt løsepenger eller at systemene ble gjenopprettet.

Hvis du jobber i en bedrift, særlig en som håndterer kunde- eller ansattdata, er budskapet mer direkte: Ikke la beslutningen om å betale løsepenger bli tatt for første gang under et faktisk angrep. Organisasjoner som planlegger på forhånd, tester sikkerhetskopiene sine og har en tydelig responsprotokoll, har langt mindre sannsynlighet for å havne i den typen håpløs situasjon Commvault beskriver, der betaling ikke garanterer at data kommer tilbake, og personverneksponering ofte allerede har skjedd når løsepengevarselet kommer.

Viktige læringspunkter

• Å betale et løsepengekrav garanterer ikke at dataene eller systemene dine blir gjenopprettet, og det opphever ikke datatyveri som allerede har skjedd.
• Dataeksponering og personvernrisiko kan eksistere uavhengig av om det betales løsepenger, siden angripere ofte stjeler informasjon før de krypterer den.
• Organisasjoner bør utarbeide responsplaner for løsepengeangrep og teste sikkerhetskopier før en hendelse inntreffer, ikke underveis.
• Enkeltpersoner bør være oppmerksomme på varsler om databrudd selv når et selskap rapporterer at en hendelse er løst.

Løsepengeangrep kommer ikke til å forsvinne, og Commvaults forskning tydeliggjør at ANZ-organisasjoner fortsatt håndterer disse beslutningene reaktivt snarere enn strategisk. Å bygge robusthet før et angrep skjer, er fortsatt den mest pålitelige måten å beskytte både forretningsdrift og personopplysningene organisasjoner er betrodd å ivareta.