Nesten halvparten betaler fortsatt, men de pruter først

En ny rapport som sirkulerer, tegner et velkjent, men ubehagelig bilde: nesten halvparten av organisasjoner som rammes av ransomware-kryptering, ender opp med å betale løsepenger. Vrien er at omtrent halvparten av disse ofrene ikke bare overleverer det fulle beløpet som kreves. I stedet forhandler de, og får ofte angriperne til å akseptere mindre enn den opprinnelige prisen før de låser opp de krypterte filene.

På overflaten kan dette høres ut som en liten seier for ofrene. Å få en kriminell gruppe til å senke prisen føles som en liten triumf i en ellers dårlig situasjon. Men den større historien her handler ikke om hvem som er flinkest til å prute. Det handler om hva det betyr at betaling av løsepenger, og forhandling med kriminelle, har blitt en normalisert del av hvordan organisasjoner reagerer på cyberangrep.

Hvorfor selskaper betaler i stedet for å gå videre

Ransomware fungerer ved å kryptere en organisasjons filer og systemer, noe som gjør dem ubrukelige inntil en dekrypteringsnøkkel leveres, vanligvis i bytte mot betaling. For selskaper uten solide sikkerhetskopier, eller de som er under press for å gjenopprette driften raskt, kan betaling føles som den raskeste veien tilbake til normalen. Denne kalkylen blir enda lettere å rettferdiggjøre når angriperen er villig til å gå ned i pris, noe rapporten antyder skjer ofte.

Denne forhandlingsdynamikken er ikke ny i ransomware-økonomien. Mange ransomware-operasjoner drives nå som virksomheter, med støttesamtaler, betalingsportaler og, ja, rom for forhandling. Denne profesjonaliseringen er en del av grunnen til at betaling har blitt et så vanlig utfall snarere enn en siste utvei.

Men betaling garanterer ikke en ren løsning. Selv når løsepenger betales og en dekrypteringsnøkkel overleveres, er det ingen garanti for at angriperne ikke allerede har kopiert sensitive data før de krypterte dem. Det er en kritisk detalj som ofte går tapt i samtaler om løsepengeforhandlinger: betalingen handler vanligvis om å gjenopprette tilgang til filer, ikke om å angre et datainnbrudd som kanskje allerede har skjedd.

Personvernrisikoen som skjuler seg bak hver løsepengebetaling

Det er her historien knytter seg til et mye større personvernproblem. Ransomware-angrep innebærer i økende grad datatyveri sammen med kryptering, noe som betyr at angripere eksfiltrerer kopier av sensitive filer før de låser originalene. Relatert rapportering har funnet at 49 % av ransomware-ofrene mister data før de oppdager angrepet, noe som betyr at innen et løsepengekrav i det hele tatt kommer, kan skaden på personlige og organisatoriske data allerede være gjort.

Den detaljen betyr enormt mye for alle hvis personlige opplysninger ligger i en organisasjons systemer, enten det er en arbeidsgiver, en helseleverandør, en skole eller en nettbutikk. En vellykket forhandling om løsepengebeløpet angrer ikke et datatyveri som allerede har skjedd. Det stopper heller ikke angriperne fra å selge eller lekke disse dataene senere, uavhengig av om løsepengene ble betalt i sin helhet, forhandlet ned eller avvist helt.

Å betale løsepenger, selv et redusert beløp, risikerer også å forsterke selve forretningsmodellen. Hver vellykkede betaling, forhandlet eller ikke, signaliserer til angripere at ransomware fortsatt er lønnsomt, noe som holder insentivstrukturen intakt for fremtidige angrep mot andre organisasjoner.

Hva dette betyr for deg

De fleste som leser om ransomware-betalingsstatistikk er ikke de som bestemmer om de skal betale. Den avgjørelsen ligger vanligvis hos IT-ledelsen, ledelsen eller hendelsesresponsteam. Men konsekvensene sprer seg til ansatte, kunder og alle hvis data ligger i berørte systemer.

Hvis du mottar et varsel om datainnbrudd fra et selskap som har opplevd et ransomware-angrep, ta det på alvor uavhengig av om nyheten nevner at løsepenger er betalt. Datatyveri kan skje før kryptering i det hele tatt begynner, så en betalt løsepenge og et gjenopprettet system betyr ikke nødvendigvis at informasjonen din er trygg. Se etter tegn på identitetstyveri, overvåk kontoene dine og vurder kredittovervåking hvis organisasjonen tilbyr det etter en hendelse.

For bedrifter og IT-team er forhandlingstrenden en påminnelse om at responsplanlegging må ta hensyn til dataeksponering, ikke bare systemnedetid. Sikkerhetskopier hjelper deg med å unngå å betale for en dekrypteringsnøkkel, men de forhindrer ikke at stjålne data lekkes eller selges hvis angripere allerede har eksfiltrert dem på forhånd.

Praktiske råd

  • Ikke anta at en betalt løsepenge betyr at dataene dine aldri ble kopiert eller eksponert; spør berørte organisasjoner direkte hva som ble bekreftet stjålet.
  • Overvåk kontoer og kredittaktivitet etter ethvert varsel om datainnbrudd, selv om selskapet sier at løsepengene er håndtert.
  • Hvis du driver en virksomhet, prioriter tidlig oppdagelse og nettverkssegmentering slik at angripere har mindre tid til å eksfiltrere data før krypteringen skjer.
  • Forstå at løsepengeforhandling senker kostnaden, ikke risikoen; eksponeringen av stjålne data forblir en separat og vedvarende trussel.

Trendene for løsepengebetaling vil trolig fortsette å dominere overskriftene etter hvert som flere organisasjoner veier kostnaden ved å betale opp mot kostnaden ved å gjenoppbygge. Men for vanlige brukere er den virkelige lærdommen ikke om forhandlingstaktikker. Det handler om å være på vakt overfor hva som skjer med dataene dine lenge etter at overskriftene om en løsepengebetaling falmer.