Nye data bekrefter at løsepengebetalinger ikke kjøper varig trygghet

Ny rapportering fremhevet av The Register, og dekket i et sammendrag fra SC Media, bidrar til et økende bevisgrunnlag for at å betale et løsepengekrav ikke pålitelig forhindrer fremtidige angrep. Organisasjoner som betaler for å få tilbake data eller stoppe utpressing, blir ofte angrepet på nytt, noen ganger av den samme kriminelle gruppen og noen ganger av en helt annen som har fått vite at offeret er villig til å betale. Dette mønsteret blir tydelig selv om koordinerte politiaksjoner, som Operasjon Cronos, jobber for å demontere store ransomware-operasjoner fra innsiden.

Konklusjonen er enkel, men ubehagelig for mange organisasjoner: løsepengebetalinger og gjentatte angrep henger tett sammen, ikke fordi betaling garanterer trygghet, men fordi det ofte signaliserer til angriperne at målet er lønnsomt og uforberedt.

Hvorfor betaling skaper en falsk følelse av trygghet

Når en bedrift er utestengt fra sine systemer eller truet med offentlig datalekkasje, kan det å betale et løsepengebeløp føles som den raskeste veien tilbake til normal drift. Men de nye dataene underbygger det sikkerhetsforskere har sagt i årevis: betaling er en transaksjon, ikke en garanti. Ransomware-gjenger er kriminelle foretak, og det finnes ingen håndhevbar avtale om at data vil bli slettet, at dekrypteringsnøkler faktisk vil fungere, eller at de samme sårbarhetene ikke vil bli utnyttet igjen.

Organisasjoner som betaler gjør det ofte fordi de mangler forsvarlige sikkerhetskopier, beredskapsplaner for hendelser eller intern kompetanse til å gjenoppbygge systemer raskt. De samme underliggende svakhetene har en tendens til å forbli på plass etter at løsepengene er betalt, noe som betyr at døren som slapp angriperne inn første gang ofte fortsatt står åpen. Betaling håndterer den umiddelbare krisen, men ikke rotårsaken.

Dette er nettopp grunnen til at en Proofpoint-undersøkelse fant at det å betale ransomware-gjenger ofte slår tilbake langt oftere enn ofrene forventer. Undersøkelsen satte konkrete tall bak advarselen og viste at en betydelig andel av organisasjonene som betalte fortsatt opplevde tap av data, ytterligere utpressingsforsøk eller gjentatte brudd.

Hvordan ransomware-gjenger identifiserer og angriper tidligere betalere på nytt

Ransomware-operasjoner fungerer i stadig større grad som forretninger, komplett med tilknyttede nettverk, kundestøtte for ofre og delt etterretning om hvilke mål det er verdt å angripe. Når en organisasjon først har betalt, kan den informasjonen sirkulere blant kriminelle grupper, enten gjennom direkte datadeling, salg av nettverkstilgang eller simpelt omdømme i underjordiske forum.

Et offer som betaler raskt og uten betydelig motstand blir en kjent størrelse: et lett mål med demonstrert vilje til å utbetale penger. Selv når politioperasjoner som Operasjon Cronos lykkes med å forstyrre spesifikk ransomware-infrastruktur, forblir den underliggende økosfrastrukturen av tilgangsmeglere, stjålne legitimasjonsopplysninger og upattede sårbarheter som førte til det opprinnelige bruddet ofte tilgjengelig for andre trusselaktører. Å slå ut én gjeng beskytter ikke nødvendigvis et tidligere offer mot at en annen utnytter de samme svakhetene.

Praktisk forsvar: Sikkerhetskopier, segmentering og herding av VPN

Den tydeligste lærdommen fra disse dataene er at forebygging og resiliens betyr mer enn forhandling. Noen konkrete tiltak utgjør en målbar forskjell:

  • Ha frakoblede, testede sikkerhetskopier. Sikkerhetskopier som er frakoblet hovednettverket og jevnlig testet for gjenoppretting er det mest effektive virkemiddelet for å unngå å måtte betale i det hele tatt.
  • Segmenter nettverk. Å begrense hvor langt en angriper kan bevege seg når de først er inne, reduserer skadeomfanget av én enkelt kompromittert konto eller enhet.
  • Herd fjernaksess. VPN og eksterne skrivebordsverktøy er vanlige inngangspunkter for ransomware. Å håndheve flerfaktorautentisering, patche VPN-programvare raskt og lukke ubrukte fjernaksesspunkter fjerner et lett fotfeste for angripere.
  • Bygg en beredskapsplan før et angrep skjer. Å vite hvem man skal ringe, hvordan man isolerer berørte systemer og hvordan man kommuniserer med interessenter reduserer presset om å betale bare for å få problemet til å forsvinne raskt.

Hva dette betyr for deg

Enten du driver IT for en liten bedrift eller bare forvalter dine egne enheter, er budskapet fra disse dataene det samme: ikke gå ut fra at betaling er et sikkerhetsnett. Hvis organisasjonen din noen gang blir rammet av et løsepengekrav, behandle hendelsen som et signal om at sikkerhetshull finnes, ikke som en forhandling som skal avsluttes og glemmes. Organisasjonene som er best rustet til å komme seg raskt og unngå å bli gjentatte ofre, er de som investerte i sikkerhetskopier, nettverksovervåking og tilgangskontroller før et angrep fant sted, i stedet for å måtte håndtere i panikk i etterkant.

Viktige hovedpunkter

  • Nye data viser at løsepengebetalinger og gjentatte angrep ofte går hånd i hånd, noe som undergraver antakelsen om at betaling løser trusselen.
  • Politiaksjoner mot spesifikke gjenger eliminerer ikke det bredere økosystemet av sårbarheter som førte til det opprinnelige angrepet.
  • Frakoblede sikkerhetskopier, nettverkssegmentering og herdet fjernaksess er mer pålitelige forsvar enn noen betalingsforhandling.
  • Organisasjoner bør utforme beredskapsplaner nå, i stedet for å bestemme hvordan de skal reagere under et pågående angrep.

Ransomware kommer ikke til å forsvinne, men beslutningen om å betale bør ikke behandles som en rask løsning. Å prioritere forebygging, resiliens gjennom sikkerhetskopier og sikker fjernaksess er fortsatt den mest effektive måten å holde dataene dine – og organisasjonen din – utenfor angripernes søkelys.