Hva de nye dataene om løsepengerbetaling viser

En ny rapport fra sikkerhetsselskapet Proofpoint, publisert onsdag, gir en ubehagelig bekreftelse for alle som noen gang har vurdert å betale en løsepengegjeng for å få et problem til å forsvinne: en betydelig andel av ofrene som betaler, ender opp med å bli møtt med et nytt utpressingskrav. Rapporten underbygger noe sikkerhetsforskere og hendelseshåndterere har argumentert for i årevis, nemlig at løsepengeforhandlinger ikke foregår i god tro, og at betaling ikke garanterer at en angriper faktisk vil gå sin vei.

Proofpoints data gir konkrete tall på et mønster forsvarere lenge har mistenkt anekdotisk. Organisasjoner som etterkommer et løsepengekrav, kjøper seg ikke en avslutning. De kjøper seg ofte en ny runde med pressmidler for den samme angriperen, eller for en helt annen gruppe, til å komme tilbake og be om mer.

Hvorfor betaling av løsepenger inviterer til et nytt angrep

Logikken bak gjentatt utpressing er enkel når du tenker over det fra angriperens perspektiv. Hele forretningsmodellen til en løsepengegruppe avhenger av at ofrene tror at betaling avslutter krisen. Men det finnes ingen juridisk kontrakt, ingen håndhevelsesmekanisme og ingen omdømmerisiko som er sterk nok til å garantere angriperens ord når pengene først har beveget seg. Hvis et offer allerede har vist vilje og evne til å betale, blir offeret et mer attraktivt mål, ikke en avsluttet konto.

Dette er en del av grunnen til at sikkerhetsforskere beskriver løsepengeforhandlinger som fundamentalt annerledes enn en normal forretningstransaksjon. Det finnes ingen motivasjon for motparten til faktisk å gå sin vei. En kriminell gruppe som én gang lyktes med å presse ut en betaling, har all grunn til å teste om den samme organisasjonen vil betale igjen, enten ved å kryptere systemer på nytt, true med å lekke tidligere stjålne data en gang til, eller ganske enkelt åpne et nytt krav knyttet til det opprinnelige innbruddet.

Denne dynamikken er nært beslektet med det bransjen kaller dobbelutpressing eller flerutpressing, der angripere ikke bare krypterer filer, men også stjeler data på forhånd, noe som gir dem flere presspunkter for å presse et offer selv etter at en løsepenger er betalt. Proofpoints funn tyder på at selv etter at den første presskampanjen lykkes, er kilden ikke nødvendigvis oppbrukt.

Hvordan uoppdagede innbrudd gjør ny utpressing lettere

En grunn til at gjentatt utpressing fungerer så godt for angripere, er at mange ofre ikke fullt ut forstår omfanget av et innbrudd før de bestemmer seg for å betale. Hvis en organisasjon oppdager krypterte filer og forhandler om løsepenger uten først å identifisere nøyaktig hvilke data som ble aksessert, kopiert eller etterlatt som en bakdør, har den i realiteten sagt seg enig i en pris uten å vite hva den faktisk kjøper tilbake.

Dette gapet mellom oppdagelse og respons er et tilbakevendende tema i ransomware-forskning. Som omtalt i en relatert rapport om feil ved oppdagelse av ransomware, mister nesten halvparten av alle løsepengeofre data før de i det hele tatt innser at et angrep er i gang. Den forsinkelsen har enorm betydning her: hvis et offer ikke vet at en angriper eksfiltrerte data uker før løsepengeviruset ble utplassert, hjelper det ikke å betale for å låse opp filer når det gjelder den stjålne informasjonen som ligger på en kriminell server – informasjon som kan tjenes penger på igjen gjennom et nytt krav, selges separat eller brukes til en fersk lekkasjetrussel senere.

Forsvarstiltak: Sikkerhetskopiering, overvåking og beredskapsplanlegging

Den praktiske lærdommen fra Proofpoints rapport er ikke at løsepengebetaling aldri bør finne sted under noen omstendigheter. Det er at betaling aldri bør betraktes som en garantert løsning. Organisasjoner, og enkeltpersoner som administrerer mindre nettverk eller virksomheter, tjener mer på å investere i forebygging og deteksjon oppstrøms enn i forhandlinger nedstrøms.

Det betyr å opprettholde regelmessige, testede offlinesikkerhetskopier slik at krypterte filer kan gjenopprettes uten å betale noen. Det betyr å investere i overvåkingsverktøy som kan fange opp uautorisert datatilgang før angriperne rekker å eksfiltrere store mengder sensitiv informasjon. Og det betyr å ha en beredskapsplan for hendelser på plass før et angrep skjer, en plan som inkluderer rettsmedisinsk undersøkelse for å fastslå nøyaktig hva som ble aksessert, ikke bare om filer ble kryptert.

Hva dette betyr for deg

For småbedriftseiere og enkeltpersoner er budskapet fra denne forskningen tydelig: ikke anta at betaling av løsepenger er den raske, rene løsningen det kan se ut til å være i øyeblikket. Angripere som allerede har vist vilje til å utpresse deg én gang, har både midlene og motivet til å gjøre det igjen. Det virkelige forsvaret mot gjentatte utpressingsangrep med løsepengevirus er ikke en bedre forhandlingsstrategi, men å redusere sjansene for at du havner i den situasjonen i utgangspunktet gjennom sterke sikkerhetskopier, raskere deteksjon og en tydelig responsplan.

Konkrete tiltak

  • Behandle løsepengebetaling som en siste utvei, ikke en garantert løsning, ettersom Proofpoints data viser at angripere ofte kommer tilbake med nye krav.
  • Prioriter offlinesikkerhetskopier som er testet, slik at kryptering alene ikke kan tvinge frem en betalingsbeslutning.
  • Invester i deteksjonsverktøy som fanger opp dataeksfiltrering tidlig, siden forsinket deteksjon gir angriperne mer pressmiddel for gjentatt utpressing.
  • Lag en beredskapsplan for hendelser før et angrep inntreffer, inkludert rettsmedisinske trinn for å fastslå det fulle omfanget av ethvert innbrudd.
  • Anta at alle data som ble stjålet før en løsepenger betales, forblir en fremtidig risiko, uavhengig av hva angriperne lover.