Ransomware-ofre som betaler i håp om å få problemet til å forsvinne, blir ofte skuffet. En nylig utgitt global studie, AI-Era Ransomware Report, undersøkte nesten 1000 sikkerhetsprofesjonelle på tvers av 12 markeder og fant at det å betale løsepenger er langt fra en garantert løsning. Funnene gir ny tyngde til en advarsel sikkerhetsforskere har gjentatt i årevis: gjentatte utpressingsbetalinger etter ransomware-angrep er en reell og voksende risiko, ikke et sjeldent unntakstilfelle.

Hva AI-Era Ransomware Report fant

Undersøkelsen tegner et nedslående bilde av hvordan organisasjoner responderer når ransomware først slår til. Over halvparten av organisasjonene som ble rammet av et angrep, 54 %, endte opp med å betale løsepenger i et forsøk på å gjenopprette sine sensitive data. Av de som betalte, fikk 56 % riktignok tilbake tilgang til filene eller systemene sine. Men det mer bekymringsfulle tallet er hva som skjedde etterpå: mer enn en tredjedel av ofrene, 37 %, mottok et nytt utpressingskrav etter allerede å ha betalt det første.

Den statistikken alene burde endre hvordan organisasjoner tenker om ransomware-respons. Å betale er ikke en engangstransaksjon som avslutter hendelsen. For mer enn en tredjedel av ofrene i denne studien var det rett og slett åpningstrekket i en lengre og dyrere syklus.

Hvorfor betaling ikke garanterer sikkerhet eller datagjenoppretting

Det er verdt å la tallene synke inn her. Selv blant organisasjoner som betalte, fikk nesten halvparten likevel ikke fullt gjenopprettet dataene sine. Og en stor andel av de som fikk tilbake filene sine, ble deretter angrepet igjen – enten av samme aktør som krevde mer penger, eller av en annen gruppe som så betalingen som et bevis på at offeret var villig til å forhandle.

Dette mønsteret samsvarer med annen nyere forskning. En Proofpoint-undersøkelse omtalt av vpn.social fant tilsvarende at det å betale ransomware-gjenger ofte slår tilbake, med en betydelig andel betalende ofre som opplever nye utpressingsforsøk. Når en organisasjon først har betalt, kan den havne på en liste over bekreftede betalere – informasjon som sirkulerer blant kriminelle grupper og som gjør organisasjonen til et mer attraktivt mål for fremtidige angrep, ikke mindre attraktivt.

Det finnes heller ingen håndhevbar kontrakt i en ransomware-forhandling. Angriperne har ingen juridisk eller omdømmemessig incentiv til å ære sin del av avtalen når pengene først er overført. Dekrypteringsnøkler kan være ufullstendige, buggy, eller aldri bli levert i det hele tatt. Dataene som ble stjålet og brukt som pressmiddel, kan fortsatt selges, lekkes, eller holdes tilbake for en ny runde med utpressing, uansett hva som ble lovet.

Forebyggende alternativer: Sikkerhetskopier, kryptering og nettverkssegmentering

Gitt disse oddsene er den mer robuste strategien å redusere sjansen for at du noensinne må ta stilling til om du skal betale i utgangspunktet. Noen få praksiser dukker jevnlig opp som effektive forsvar:

  • Oppretthold offline, testede sikkerhetskopier. Sikkerhetskopier som er koblet fra hovednettverket og jevnlig testet for gjenoppretting, gjør at en organisasjon kan komme seg uten å forhandle med en angriper i det hele tatt.
  • Krypter sensitive data i hvile og under overføring. Selv om angripere eksfiltrerer filer, begrenser sterk kryptering hva de faktisk kan bruke eller selge, noe som reduserer pressmiddelet bak en datalekkasje-trussel.
  • Segmenter nettverk. Å dele systemer inn i isolerte soner begrenser hvor langt ransomware kan spre seg når det først får et innledende fotfeste, og begrenser skaden til en mindre del av organisasjonen.
  • Patch og overvåk konsekvent. Mange ransomware-inntrengninger utnytter fortsatt kjente, upatchede sårbarheter eller svake eksterne tilgangslegitimasjoner, så grunnleggende hygiene stenger en stor andel av inngangspunktene.

Ingen av disse tiltakene gjør en organisasjon immun mot angrep, men sammen krymper de både sannsynligheten for et vellykket brudd og presset til å betale hvis et skulle skje.

Bygg en hendelsesresponsplan før et angrep inntreffer

De organisasjonene som klarer seg best etter en ransomware-hendelse, er gjerne de som allerede hadde øvd på responsen før angrepet skjedde. Det betyr å ha en dokumentert plan som spesifiserer hvem som tar beslutningen om hvorvidt man skal betale, hvilke juridiske kontakter og politimyndigheter som varsles, hvordan kommunikasjon med ansatte og kunder håndteres, og hvordan systemer isoleres og gjenopprettes.

Å gjennomføre tabletop-øvelser, der ansatte går gjennom et simulert angrepsscenario, hjelper med å avdekke hull i planen mens det ikke er reelt press på spill. Det øker også hastigheten på den faktiske responsen når en hendelse først skjer, reduserer eksponeringsvinduet og minsker fristelsen til å betale bare fordi ingen annen løsning ser ut til å være klar.

Hva dette betyr for deg

For IT-ledere og sikkerhetsteam er denne rapporten en påminnelse om at gjentatte utpressingsbetalinger etter ransomware er vanlige nok til å ta med i planleggingen, ikke et worst-case-unntak. Behandle en løsepengebetaling som en siste utvei med en reell sjanse for å mislykkes, ikke som en pålitelig forsikring. Budsjetter for forebygging (sikkerhetskopier, segmentering, overvåking) på samme måte som du ville budsjettert for andre kjerneinfrastrukturkostnader, fordi tallene tyder på at det er billigere i det lange løp enn gjentatte forhandlinger med angripere.

For enkeltbrukere og mindre organisasjoner uten et dedikert sikkerhetsteam gjelder de samme prinsippene i mindre skala: hold en offline kopi av alt som ikke kan erstattes, bruk kryptering der det er tilgjengelig, og vet på forhånd hvem du ville ringt hvis systemene dine noensinne ble låst.

Viktige punkter

  • 54 % av de undersøkte organisasjonene som ble rammet av et ransomware-angrep betalte løsepenger, men bare 56 % av betalerne fikk fullt tilbake tilgang til dataene sine.
  • 37 % av organisasjonene som betalte, ble rammet av et nytt utpressingskrav, noe som viser at betaling ikke avslutter risikoen.
  • Offline sikkerhetskopier, kryptering og nettverkssegmentering reduserer både oddsen for et vellykket angrep og presset til å betale.
  • En testet hendelsesresponsplan, bygget før et angrep skjer, forkorter gjenopprettingstiden og reduserer avhengigheten av løsepengebetalinger.
  • Lesere kan gjennomgå Proofpoint-undersøkelsens funn for ytterligere bekreftende data om hvor ofte løsepengebetalinger mislykkes i å løse et angrep.