Løsepenger eller ikke? Hvorfor cyberutpressing er en personvernkrise

Når et løsepengekrav dukker opp på skjermene til et selskap, er instinktet ofte å behandle det som en IT-nødsituasjon: isoler nettverket, tilkall sikkerhetsteamet, vurder skadene på serverne. Men en voksende mengde veiledning, nylig detaljert av Cyber Daily i sin analyse av beslutningstaking ved cyberutpressing, gjør det klart at å betale eller nekte å betale løsepenger er mye mer enn et teknisk valg. Det er en juridisk, økonomisk og fremfor alt en personvernavgjørelse som berører hver eneste kunde, ansatt og partner som har sine data i de kompromitterte systemene.

Den juridiske minefeltet bak en beslutning om løsepenger

En av de mest oversette aspektene ved cyberutpressing er at det å betale de kriminelle ikke alltid er juridisk enkelt. Avhengig av hvem som står bak angrepet, kan en løsepengebetaling utsette den betalende organisasjonen for sanksjonsrisiko, spesielt når trusselaktøren eller deres infrastruktur er knyttet til en sanksjonert enhet eller jurisdiksjon. Organisasjoner som forhaster seg med å betale uten juridisk gjennomgang, risikerer å bli møtt med regulatorisk granskning i tillegg til selve bruddet. Som skissert i vår tidligere dekning av hvordan løsepengebetalinger risikerer OFAC-sanksjoner, handler beslutningen om å betale ikke bare om hvorvidt et selskap har råd til kravet. Det handler om hvorvidt betalingen i seg selv er lovlig, og om organisasjonen har utført nødvendig due diligence for å finne ut av det.

Det er nettopp derfor håndteringen av cyberutpressing ikke kan ligge hos IT-avdelingen alene. Juridisk rådgivning, compliance-ansvarlige og ofte politi må være med i samtalen fra tidligst mulig tidspunkt, ikke hentes inn etter at en betaling allerede er gjennomført.

Hvorfor dette er et personvernproblem, ikke bare et IT-problem

Løsevare pleide først og fremst å handle om å låse filer. Det har endret seg. Moderne utpressingsgrupper stjeler i økende grad data før de krypterer noe, og bruker så trusselen om eksponering som pressmiddel. Dette skiftet gjør enhver løsevarehendelse til en personvernhendelse, uavhengig av om systemene til slutt blir gjenopprettet.

Vi har sett denne utviklingen akselerere i sanntid. Noen grupper har gått lenger enn å true offerorganisasjonen direkte, og truer nå med å kontakte selskapets egne kunder, noe som legger press ved å rette seg mot personene hvis personopplysninger faktisk står på spill. Denne taktikken endrer kalkylen fullstendig: selv en full løsepengebetaling garanterer ikke at stjålne kundedata ikke blir lekket, solgt eller brukt til videre utpressing.

Organisasjoner som vurderer et løsepengekrav, må spørre seg ikke bare «kan vi gjenopprette systemene våre», men «hva skjer med personopplysningene til alle i systemene våre, uansett hva vi bestemmer oss for». En løsepengebetaling kan kjøpe en dekrypteringsnøkkel. Den sletter ikke det faktum at sensitive data ble eksponert for kriminelle i utgangspunktet.

Å betale garanterer ikke sikkerhet

Selv når organisasjoner betaler, finnes det ingen pålitelig dokumentasjon på at det avslutter problemet. Forskning fra Proofpoint fant at en betydelig andel av selskaper som betaler løsepenger opplever gjentatte utpressingsforsøk, noen ganger fra de samme angriperne som kommer tilbake for en ny utbetaling. Disse dataene undergraver en av de vanligste begrunnelsene for å betale: troen på at det får problemet til å forsvinne.

Noen organisasjoner har valgt en helt annen vei. Stadler Rail, den sveitsiske togprodusenten, nektet offentlig å betale et løsepengekrav på flere millioner dollar etter at angripere stjal data via en tredjepartsleverandør, og satset på at avslag var mindre risikabelt enn å legitimere utpressingsøkonomien. I mellomtiden fortsetter løsevarelandskapet å skifte; en fersk bransjeoppsummering som sporer hvilke grupper som dominerer det nåværende trusselbildet, viser at det å betale én gjeng ikke reduserer den totale risikoen fra dusinvis av andre som fortsatt er aktive.

Hva dette betyr for deg

Enten du driver en liten bedrift eller administrerer sikkerhet for et stort foretak, bør beslutningen om å betale eller ikke aldri tas isolert av den som administrerer serverne. Det krever juridisk gjennomgang med tanke på sanksjoner og regulatorisk eksponering, en personvernvurdering av nøyaktig hvilke data som ble aksessert, og en realistisk forståelse av at betaling ikke gir noen garanti mot fremtidig utpressing eller lekkasjer. For vanlige forbrukere er poenget annerledes, men relatert: sikkerheten til dine personopplysninger etter et brudd avhenger sterkt av beslutninger tatt av selskaper du kanskje aldri samhandler direkte med, og derfor er det viktig å forstå hvordan organisasjoner håndterer cyberutpressing, selv om du ikke er den som står overfor løsepengevarselet.

Praktiske råd

Organisasjoner bør utarbeide en beredskapsplan for hendelser før et angrep skjer, en som eksplisitt inkluderer juridisk rådgivning og personvernvurdering sammen med teknisk utbedring. Behandle aldri en løsepengebetaling som et rent økonomisk anliggende; sanksjons- og compliance-risikoen er reell og kan forverre det opprinnelige bruddet. Anta at alle eksfiltrerte data allerede kan være kompromittert uavhengig av betaling, og planlegg varsling av kunder og ansatte deretter. Husk til slutt at den tryggeste langsiktige strategien mot cyberutpressing ikke er en rask løsepengebetaling, men sterkere forsvar som forhindrer at utpressingsforsøket lykkes i utgangspunktet.