Proofpoint-undersøkelse: Å betale løsepengegjenger slår ofte tilbake

Løsepengebetalinger avslutter sjelden trusselen, viser undersøkelse

En ny undersøkelse fra sikkerhetsselskapet Proofpoint setter ferske tall bak en advarsel politimyndigheter har gjentatt i årevis: Å betale en løsepengegjenge får sjelden problemet til å forsvinne. Ifølge forskningen innrømmet 58 prosent av de spurte britiske virksomhetene å ha betalt løsepenger etter et løsepengeangrep. Men tallene tyder på at denne beslutningen ofte inviterer til mer trøbbel i stedet for en avslutning.

Undersøkelsen fant at omtrent 22 prosent av organisasjonene som betalte løsepenger, ble utpresset på nytt av de samme angriperne, noen ganger for ytterligere betalinger knyttet til de samme stjålne dataene. I enkelte tilfeller betalte ofrene én gang for å få opp systemene sine, bare for å bli kontaktet uker eller måneder senere med nye trusler om å lekke den samme informasjonen med mindre en ny betaling ble foretatt. Enda mer bekymringsfullt er det at rundt 2 prosent av ofrene som betalte, aldri fikk tilbake filene sine i det hele tatt, enten fordi dekrypteringsverktøyene fra angriperne sviktet, eller fordi de kriminelle rett og slett aldri hadde til hensikt å innfri løftet sitt.

Dette mønsteret stemmer overens med det FBI og Europol har fortalt virksomheter i årevis: løsepengebetalinger finansierer kriminelle operasjoner, garanterer sjelden en ren løsning og kan merke en organisasjon som et lett bytte som er villig til å betale igjen.

Hvorfor løsepengebetalinger inviterer til gjentatte angrep

Logikken bak gjentatt utpressing er enkel fra et kriminelt perspektiv. Når en virksomhet først har vist at den vil betale for å få et problem til å forsvinne, blir den en kjent størrelse for angriperne, og ofte for andre kriminelle grupper som kjøper og selger offerdata på undergrunnsfora. Å betale løsepenger betyr ikke nødvendigvis at stjålne data blir slettet. I mange tilfeller forblir kopier på angripernes infrastruktur, deles med tilknyttede grupper eller beholdes i stillhet som pressmiddel for en ny runde med krav.

Dette er kjerneproblemet Proofpoints data fremhever: den kortsiktige lettelsen ved å betale for å gjenopprette driften kan skape en langsiktig forpliktelse. Angripere vet at et selskap under press for å gjenoppta virksomheten, bevare kundenes tillit og unngå regulatorisk gransking, er mer tilbøyelig til å betale igjen enn å avvise kravet og akseptere konsekvensene av en datalekkasje. Denne beregningen er nettopp det som driver ny utpressing, og det er derfor sikkerhetsforskere fortsetter å beskrive løsepengebetaling som en beslutning som bytter en umiddelbar krise mot en potensielt større, tilbakevendende en. Dekning av den samme Proofpoint-undersøkelsen om gjentatte løsepengeangrep bemerket at insentivstrukturen for angriperne bare blir sterkere når et offer først viser seg villig til å betale.

Personvernkonsekvensene utover løsepengene

Mens dekningen av løsepengeangrep ofte fokuserer på driftsstans, fortjener personvernimplikasjonene like stor oppmerksomhet. Når et selskap betaler løsepenger for å forhindre dataeksponering, stoler det i praksis på at en kriminell virksomhet holder et løfte uten rettslig håndhevbarhet. Kunderegistre, ansattdata, økonomiske detaljer og helseinformasjon kan forbli tilgjengelige for videresalg eller lekkasje uavhengig av betaling. For personene hvis data befinner seg i disse utsatte systemene, gir en løsepengebetaling ingen reell sikkerhet for at deres personlige opplysninger er trygge.

Dette er spesielt relevant for organisasjoner som håndterer sensitive personopplysninger, der et brudd kan utløse varslingsplikter, regulatoriske bøter og varig omdømmeskade lenge etter at eventuelle løsepenger er betalt. Undersøkelsens funn understreker at løsepengeangrep ikke bare er en IT-hendelse. Det er en personvernhendelse med konsekvenser som kan dukke opp igjen lenge etter at de første overskriftene har falmet.

Hva dette betyr for deg

Hvis du driver en virksomhet, eller tar IT- og sikkerhetsbeslutninger for en, er lærdommen fra denne undersøkelsen tydelig: Å betale løsepenger er ingen garantert vei til en løsning, og det kan øke eksponeringen din for fremtidige angrep. Avgjørelser som tas i panikken under en pågående hendelse, bør veies opp mot realiteten at angripere ofte beholder stjålne data uavhengig av betaling, og at en synlig betalingsvilje kan gjøre en organisasjon til et gjentakende mål.

For vanlige forbrukere er dette en påminnelse om at datainnbrudd knyttet til løsepengeangrep kan ha lengre etterspill enn den første nyhetsdekningen antyder. Personopplysninger som eksponeres i én hendelse, kan dukke opp igjen i senere lekkasjer, selv om det berørte selskapet rapporterte situasjonen som løst.

Hovedpunkter

• Nesten seks av ti spurte britiske organisasjoner betalte løsepenger etter et angrep, ifølge Proofpoints data.
• Omtrent 22 prosent av dem som betalte, ble utpresset på nytt, ofte med de samme stjålne dataene.
• En liten prosentandel av ofrene som betalte, fikk aldri tilbake tilgangen til filene sine i det hele tatt.
• Politi- og påtalemyndigheter, inkludert FBI og Europol, fortsetter å anbefale mot å betale løsepengekrav.
• Virksomheter bør investere i beredskapsplanlegging, frakoblede sikkerhetskopier og varslingsberedskap fremfor å behandle løsepengebetaling som en hurtigløsning.

Løsepengeangrep forblir en vedvarende trussel, men denne undersøkelsen gir tyngde til et budskap sikkerhetseksperter har fremført i årevis: Å betale gir ikke sjelefred. Organisasjoner og enkeltpersoner er bedre tjent med forebygging, beredskap og skepsis til ethvert løfte fra kriminelle aktører som holder stjålne data som gisler.