Ransomware-undersøkelse: Å betale løsepenger gir næring til gjentatt utpressing

En ny bransjeundersøkelse gir harde fakta til en advarsel sikkerhetseksperter har gjentatt i årevis: å betale en ransomware-gjeng løser sjelden problemet, og gjør det ofte verre. Ifølge rapporteringen av funnene, står organisasjoner som betaler løsepenger overfor en betydelig høyere sjanse for å bli angrepet på nytt, noen ganger av de samme angriperne, i løpet av et relativt kort tidsvindu etterpå.

Undersøkelsen legger til en voksende mengde bevis for at betaling av løsepenger ikke fungerer som en ren transaksjon. I stedet kan det signalisere til kriminelle grupper at et mål både er villig og i stand til å betale, noe som gjør organisasjonen til et mer attraktivt fremtidig mål snarere enn en avsluttet sak.

Hva undersøkelsen fant

Forskningen som trekkes fram i rapporteringen peker på et urovekkende mønster: en betydelig andel av organisasjonene som betalte et løsepengekrav, ble utpresset på nytt etterpå, enten gjennom fornyede trusler fra den opprinnelige angriperen eller gjennom et oppfølgingsangrep fra en annen gruppe. Denne syklusen av gjentatt utpressing undergraver den grunnleggende logikken som ofte driver betalingsbeslutninger i utgangspunktet, ideen om at betaling raskt løser en hendelse og begrenser ytterligere skade.

I stedet antyder dataene at det motsatte kan skje. Angripere kan beholde kopier av stjålne data selv etter at løsepenger er betalt, og noen ofre har rapportert å bli kontaktet på nytt med nye krav knyttet til de samme stjålne filene. Andre har blitt rammet av helt nye inntrengninger, noe som tyder på at betaling kan merke en organisasjon som et mykt mål innenfor kriminelle nettverk som deler etterretning om hvilke ofre som tidligere har betalt.

Hvorfor betaling ikke garanterer gjenoppretting

Offentlige etater og internasjonale koalisjoner har gjentatte ganger frarådet løsepengebetalinger, og argumenterer for at betaling ikke garanterer datagjenoppretting, ikke garanterer sletting av stjålet informasjon, og direkte finansierer det kriminelle økosystemet bak fremtidige angrep. De siste undersøkelsesdataene forsterker denne posisjonen med konkrete tall i stedet for bare politiske retningslinjer.

Dette skaper en vanskelig knipe for organisasjoner som står overfor en pågående ransomware-hendelse. Operasjonelt press, spesielt i sektorer som helsevesen, logistikk eller finansielle tjenester, kan få ledelsen til å betale bare for å gjenopprette systemer og begrense forretningsavbrudd. Men undersøkelsesfunnene antyder at kortsiktig lindring kan komme på bekostning av langsiktig risiko, siden betaling ikke fjerner stjålne data fra sirkulasjon og kanskje ikke forhindrer et nytt angrep.

De bredere personvernimplikasjonene er betydelige. Ransomware-hendelser involverer i økende grad datatyveri ved siden av kryptering, noe som betyr at offerorganisasjoner, og dermed deres kunder eller pasienter, står overfor eksponering uavhengig av om løsepenger betales. Personopplysninger som tas under et angrep kan selges, lekkes eller holdes tilbake for en ny runde med utpressing selv etter betaling, noe som gir berørte individer liten innsikt i hva som skjedde med informasjonen deres. Dette er en del av en bredere trend der organisasjoner og myndigheter sliter med hvordan personopplysninger samles inn, lagres og eksponeres, en bekymring som ekkoer debatter sett i andre politikkområder, slik som granskningen rundt nye amerikanske visumpolitiske krav om offentlige profiler på sosiale medier, der personlig informasjon blir gjenstand for nye former for tilgang og risiko.

Hva dette betyr for deg

For enkeltforbrukere kan den direkte konsekvensen av en beslutning om å betale løsepenger virke fjern, men det er den ikke. Mange ransomware-angrep retter seg mot organisasjoner som har personopplysninger: sykehus, skoler, forhandlere og tjenesteleverandører. Uavhengig av om løsepenger betales, er eksponeringen av navn, adresser, økonomiske detaljer eller helsejournaler ofte allerede i gang når angripere eksfiltrerer data. Å betale løsepenger beskytter ikke nødvendigvis denne informasjonen fra å dukke opp igjen senere, enten gjennom en lekkasje, videresalg eller et nytt utpressingsforsøk mot den samme organisasjonen.

For bedrifter og IT-beslutningstakere forsterker undersøkelsesfunnene at en løsepengebetaling ikke bør behandles som en garantert løsning. Gjenopprettingsplanlegging, hendelsesrespons og kommunikasjon med regulatorer og berørte kunder er like viktig, om ikke mer, enn selve betalingsbeslutningen.

Å bygge en sterkere responsstrategi

Det konsekvente budskapet fra sikkerhetsforskere, offentlige etater og nå disse undersøkelsesdataene er at forebygging og forberedelse veier tyngre enn reaktiv betaling. Det betyr å opprettholde sikkerhetskopier frakoblet, teste hendelsesresponsplaner før et angrep skjer, og ha en klar protokoll for å involvere politiet tidlig i stedet for å behandle betaling som standard første trekk.

For vanlige lesere er den praktiske lærdommen å være oppmerksom på varsler om sikkerhetsbrudd fra enhver organisasjon du samhandler med, siden ransomware-etterspill kan påvirke deg selv om du aldri ser overskriftene. Vurder å bruke sterke, unike passord på tvers av kontoer, aktivere flerfaktorautentisering der det er tilgjengelig, og overvåke finans- og helserelaterte kontoer for uvanlig aktivitet etter enhver rapportert hendelse.

Ransomware forsvinner ikke, og debatten om å betale eller ikke vil fortsette. Men den voksende dokumentasjonen på at betaling ofte inviterer til gjentatt utpressing, bør presse både organisasjoner og enkeltpersoner mot en mer skeptisk, forberedelsesorientert tilnærming i stedet for å behandle løsepengebetaling som en rask løsning.