Hvorfor 1 av 5 løsepengeutbetalinger likevel ender i svik

Newzealandske virksomheter som vurderer å betale et løsepengekrav har nettopp fått et nøkternt datapunkt. Ifølge rapportering om hvilke newzealandske selskaper som er mest utsatt for løsepengeangrep, mottok 80 % av ofrene som betalte en fungerende dekrypteringsnøkkel og fikk ikke de stjålne dataene sine lekket slik det ble lovet. Det høres betryggende ut helt til du snur tallet: i ett av fem tilfeller betalte ofrene og fikk ingenting. Ingen nøkkel, ingen slettede filer, ingen avtale som ble overholdt.

Dette er den ubehagelige kjernen i risikoen ved løsepengeutbetalinger. Hele utpressingsmodellen avhenger av at ofrene tror at kriminelle vil holde ord, fordi et rykte om pålitelighet holder fremtidige ofre betalende. Men rykte blant kriminelle grupper er ikke en juridisk kontrakt, og rapporteringen gjør det klart at noen aktører bare tar pengene og går sin vei, eller verre, kommer tilbake for mer.

Hvordan løsepengevaregrupper retter seg mot og utpresser ofre på nytt

En av de mer urovekkende detaljene i rapporten involverer en gruppe kalt SpaceBears, som angivelig utsatte ofre for ny utpressing etter at de allerede hadde betalt løsepenger én gang. I stedet for å behandle en betaling som slutten på en hendelse, befant disse ofrene seg tilbake ved start, og sto overfor et nytt krav for de samme stjålne dataene. Denne taktikken undergraver den grunnleggende forutsetningen om at betaling løser problemet. Hvis en kriminell gruppe har dataene dine, garanterer ikke én enkelt betaling at de forsvinner fra deres besittelse eller fra besittelsen til noen de senere selger dem til.

Løsepengevaregrupper har en tendens til å fokusere på organisasjoner de tror er mer sannsynlige til å betale raskt, ofte fordi kostnaden ved nedetid eller omdømmeskader overstiger selve løsepengene. Gjenopprettingskostnader etter et angrep er gjennomgående høye og dekker rettsmedisinsk etterforskning, gjenoppbygging av systemer, juridisk konsultasjon og potensielle regulatoriske rapporteringsforpliktelser. Det økonomiske presset er nettopp det angriperne regner med når de setter prisen og fristen sin.

Redusere eksponering: Databeskyttelse og grunnleggende sikkerhetshygiene

Gitt at selv en vellykket betaling har omtrent 20 % risiko for å mislykkes, og at noen grupper kan utnytte ofre to ganger, er den mer holdbare strategien å redusere sjansene for et vellykket angrep i utgangspunktet. Dette starter med grunnleggende, men ofte forsømt sikkerhetshygiene: regelmessige offline- eller uforanderlige sikkerhetskopier som løsepengevare ikke kan nå, rettidig oppdatering av kjente sårbarheter, flerfaktorautentisering på alle eksterne tilgangspunkter, og nettverkssegmentering slik at én kompromittert konto ikke kan utløse en fullskala krypteringshendelse.

Dataminimering er like viktig som tekniske forsvar. Organisasjoner som lagrer mindre sensitive data, oppbevarer dem i kortere perioder og krypterer det de beholder, gir angriperne mindre pressmiddel selv om et datainnbrudd skulle skje. Det er også her forståelse av VPN-jurisdiksjon blir relevant for virksomheter og enkeltpersoner som håndterer sensitiv trafikk. Landet der en tjenesteleverandør er juridisk basert, avgjør hvilke data den kan bli tvunget til å utlevere og hvilken rettshjelp ofrene har hvis noe går galt. Å velge verktøy og leverandører med klar og gunstig jurisdiksjonsstatus er en del av en bredere forsvarsholdning, ikke en separat bekymring fra forebygging av løsepengevare.

Bredere diskusjoner om digital politikk i New Zealand krysser også dette problemet. Som diskusjonene rundt New Zealands aldersverifiseringsplaner viser, debatterer landet aktivt hvor mye personopplysninger plattformer og tilsynsmyndigheter skal samle inn og beholde. Hvert nye lager av lagret personlig informasjon er et potensielt mål for løsepengevare, noe som gjør dataminimering til et offentlig politisk spørsmål så vel som et bedriftsansvar.

Hva dette betyr for virksomheter og vanlige brukere

For newzealandske virksomheter er ikke konklusjonen at det alltid er meningsløst å betale løsepenger. Tallet 80 % viser at angriperne ofte leverer. Men å behandle betaling som en pålitelig forsikring er en feil som dataene ikke støtter. En feilrate på én av fem, kombinert med dokumenterte tilfeller av gjentatt utpressing, betyr at betaling bør være en siste utvei som veies opp mot juridiske, økonomiske og omdømmemessige faktorer, ikke en standardrespons innebygd i en beredskapsplan.

For vanlige brukere er lærdommen den samme i mindre skala. Personlige sikkerhetskopier, unike passord og forsiktig håndtering av e-postvedlegg og lenker er fortsatt de billigste og mest effektive forsvarene mot løsepengevaren som til slutt finner veien til enkeltpersoner gjennom phishing-kampanjer. Gjenoppretting i ettertid, enten du er et stort selskap eller en privatbruker, er kostbart og usikkert sammenlignet med forebygging.

Viktige punkter

  • Omtrent 20 % av ofre for løsepengevare som betaler, mottar ingenting tilbake, til tross for løfter om dekrypteringsnøkler og sletting av data.
  • Noen løsepengevaregrupper, inkludert SpaceBears, har utpresset ofre på nytt etter at de allerede har betalt én gang.
  • Pålitelige offline sikkerhetskopier og sterke tilgangskontroller reduserer avhengigheten av løsepengeutbetalinger fullstendig.
  • Dataminimering og bevissthet om leverandørers jurisdiksjon reduserer mengden pressmiddel angriperne kan ha over deg.
  • Risikoen ved løsepengeutbetalinger bør inngå i enhver organisasjons beredskapsplanlegging, ikke bare den umiddelbare kostnaden for kravet.

Å forstå risikoen ved løsepengeutbetalinger handler til syvende og sist om å erkjenne at forebygging, sikkerhetskopieringsdisiplin og nøye datahåndtering gir mer sikkerhet enn å stole på at en kriminell virksomhet ærer sin side av en utpressingsavtale.