Selskaper fortsetter å betale løsepenger, viser nye data

Til tross for årevis med veiledning som oppfordrer organisasjoner til å avvise løsepengekrav, er det fortsatt mange selskaper som betaler til nettkriminelle. En ny studie fra sikkerhetsselskapet Proofpoint fant at nesten en fjerdedel (22 %) av selskapene som betalte løsepenger, ble rammet på nytt med et nytt utpressingskrav, et tall som reiser alvorlige spørsmål om hvorvidt betaling faktisk løser noe.

Undersøkelsen kommer i en tid der myndighetene presser hardere enn noen gang for at organisasjoner skal stå imot angripere. Storbritannias National Cyber Security Centre (NCSC) har lenge frarådet betaling av løsepenger, og advarer om at det oppmuntrer til flere angrep og ikke gir noen garanti for at stjålne eller krypterte data faktisk vil bli returnert. Likevel tyder Proofpoints funn på at offisielle råd og reelle forretningsbeslutninger ofte er to svært forskjellige ting.

Hvorfor bedrifter likevel betaler

Løsepengevirusangrep setter selskaper i en lite misunnelsesverdig situasjon. Når systemer er låst eller sensitive data trues med offentlig eksponering, blir ledere ofte tvunget til å veie omdømmetap, regulatoriske konsekvenser og driftsstans opp mot kostnadene ved en løsepengebetaling. For mange organisasjoner kan betaling føles som den raskeste veien tilbake til normalen, selv om sikkerhetseksperter advarer om at det sjelden går så knirkefritt.

Denne vurderingen blir enda mer risikabel gitt hvordan selve løsepengebransjen har blitt profesjonalisert. Forhandling har blitt noe av en hjemmeindustri, med firmaer som leies inn spesifikt for å kommunisere med angriperne og forsøke å redusere kravene. Men denne bransjen har ikke vært uten kontroverser. I ett bemerkelsesverdig tilfelle ble en profesjonell forhandler dømt til 70 måneders fengsel for sin rolle i en BlackCat-løsepengeavtale, en påminnelse om at de som formidler slike betalinger ikke alltid handler i selskapets beste interesse. En relatert sak som involverte den samme forhandleren, identifisert som Martino i rettsdokumenter, understreker ytterligere hvor uoversiktlig og juridisk risikabelt løsepengebetalingsøkosystemet kan bli når en mellommann er involvert.

Personvernkostnaden ved å betale

Tallet på 22 % gjentatt utpressing er betydelig fordi det taler imot den sentrale begrunnelsen de fleste selskaper gir for å betale: at det får problemet til å forsvinne. Hvis nesten en fjerdedel av ofrene blir angrepet på nytt etter å ha betalt, kjøper ikke betalingen trygghet. Den kan rett og slett bekrefte overfor angriperne at organisasjonen er villig og i stand til å betale, noe som gjør den til et mer attraktivt mål for fremtidige angrep.

Det er også en personverndimensjon som ofte blir oversett i disse diskusjonene. Løsepengeangrep involverer ofte tyveri av sensitive data, kundeopplysninger, ansattinformasjon og økonomiske detaljer lenge før krypteringen skjer. Å betale løsepenger opphever ikke denne eksponeringen. Angriperne kan allerede ha kopiert dataene, og en betaling gir ingen verifiserbar garanti for at de vil bli slettet i stedet for å bli solgt eller lekket senere. For enkeltpersoner hvis data befinner seg i et angrepet selskaps systemer, har forhandlingene om løsepenger bak lukkede dører liten betydning for om informasjonen deres forblir privat.

Hva dette betyr for deg

Hvis du er forbruker, er disse dataene en påminnelse om at et selskaps beslutning om å betale løsepenger ikke nødvendigvis beskytter din personlige informasjon. Varsler om datainnbrudd og tilbud om kredittovervåking etter et løsepengeangrep er verdt å ta på alvor, uavhengig av om det rammede selskapet sier det har løst situasjonen med angriperne.

Hvis du jobber innen IT, sikkerhet eller ledelse, bør Proofpoints funn inngå direkte i beredskapsplanleggingen. Betaling bør aldri behandles som en rask løsning. Organisasjoner som har betalt én gang, ser ut til å forbli attraktive mål, noe som betyr at gjenopprettingsplanene må inkludere sterkere sikkerhetstiltak etter et angrep, ikke bare en pengeoverføring og et lettelsens sukk.

Praktiske råd

Noen praktiske tiltak kan bidra til å redusere både sannsynligheten for et angrep og konsekvensene hvis et skulle skje:

  • Ta regelmessige, testede sikkerhetskopier uten nett, slik at krypteringskravene mister sin kraft.
  • Behandle ethvert løsepengeangrep som et datainnbrudd som standard, siden angripere ofte eksfiltrerer data før de krypterer dem.
  • Rådfør deg med politi og etater som NCSC tidlig, i stedet for å gå rett til betaling eller forhandling.
  • Hvis en forhandler er involvert, undersøk dem nøye på grunn av de juridiske risikoene som nylige rettssaker har tydeliggjort.
  • Kommuniser åpent med berørte kunder eller ansatte uavhengig av om det ble betalt løsepenger.

Løsepengevirus kommer ikke til å forsvinne, og fristelsen til å betale for en rask løsning vil forbli sterk. Men disse nye dataene gir tyngde til det regulerende myndigheter har sagt i årevis: å betale løsepenger er sjelden slutten på historien, og det kan bare være begynnelsen på en ny.