Ny forskning fra Singapore gir en ubehagelig påminnelse til virksomheter som vurderer å betale et løsepengekrav: betalingen avslutter ofte ikke prøvelsen. Ifølge rapportering fra Singapore Business Review, overleverte 50 % av lokale organisasjoner som ble rammet av utpressingsangrep penger til angriperne, og en oppsiktsvekkende andel av de løsepengeofrene som betalte, fant seg selv stilt overfor et nytt krav i etterkant.

Funnet svekker en vanlig antagelse om at å betale løsepenger er en rask måte å få et kostbart problem til å forsvinne. For mange organisasjoner ser det ut til å virke motsatt: det signaliserer til kriminelle grupper at offeret både er villig og i stand til å betale, noe som gjør dem til en hovedkandidat for runde to.

Hva forskningen fant

Kjernetallet fra studien er enkelt, men nøkternt. Halvparten av de singaporske organisasjonene som ble undersøkt, og som opplevde et løsepenge- eller utpressingsangrep, valgte å betale angriperne. Det er en avgjørelse med myntkast-odds, tatt under enormt press, ofte med krypterte systemer, stanset drift og overhengende skade på omdømme som alle veier inn på utfallet.

Det som gjør dette datasettet spesielt bemerkelsesverdig, er oppfølgingen: en betydelig andel av dem som betalte fikk ingen avslutning. I stedet mottok de et nytt utpressingskrav, enten fra den samme gruppen som kom tilbake for mer, eller fra en relatert aktør som utnyttet den samme tilgangen eller de lekkede dataene. Dette mønsteret er ikke unikt for Singapore. Lignende funn har dukket opp andre steder, inkludert analyse som viser at løsepengegjenger presser 22 % av ofre som allerede har betalt på nytt, og separat forskning fra New Zealand fant at omtrent 1 av 5 løsepengebetalinger ble forrådt av angripere som kom tilbake for mer til tross for mottatt betaling.

Sammen tegner disse datapunktene et konsistent bilde på tvers av ulike markeder: å betale løsepenger kjøper ikke pålitelig trygghet, og i et meningsfylt antall tilfeller kan det øke sjansene for å bli angrepet på nytt.

Hvorfor angripere kommer tilbake for mer

Den atferdsmessige logikken her er grei når du ser den fra den kriminelles perspektiv. Et offer som allerede har betalt, har demonstrert tre ting som er verdifulle for en utpresser: de har penger tilgjengelig, de har bestemt at det å betale er å foretrekke fremfor alternativet, og de mangler kanskje de tekniske forsvarsverkene for å forhindre en gjentatt inntrengning.

Løsepengeoperasjoner ligner stadig mer på virksomheter med sine egne interne måltall. En betalende kunde er, rett ut sagt, en bevist salgsleder. Noen grupper opererer også som partnere eller franchiser, noe som betyr at et offers data eller nettverkstilgang kan videreselges eller gjenbrukes av en helt annen kriminell aktør, noe som resulterer i et nytt krav som ikke har noe med gruppen bak det første angrepet å gjøre. Uansett sitter offeret igjen med risikoen to ganger.

Denne dynamikken er nøyaktig grunnen til at cybersikkerhetsbyråer og forskere lenge har advart mot å behandle løsepengebetaling som en løsning fremfor en midlertidig og upålitelig nødløsning.

Utover løsepengebetalinger: Bygge ekte forsvar

Hvis betaling ikke er en garantert løsning, hvor bør organisasjoner og enkeltpersoner fokusere energien sin i stedet? Svaret ligger i å redusere sjansene for et vellykket angrep i utgangspunktet, og begrense skaden når et først skjer.

Det starter med det grunnleggende: å opprettholde frakoblede, testede sikkerhetskopier slik at krypterte data kan gjenopprettes uten å forhandle med angripere. Det innebærer også å stramme inn fjernaksesskontroller, siden kompromittert legitimasjon og eksponerte protokoller for eksternt skrivebord fortsatt er vanlige inngangspunkter for løsepengegjengere. Å kryptere sensitiv trafikk og bruke sikre, godt konfigurerte VPN-tilkoblinger for fjern- og hybridarbeid kan redusere angrepsflaten som kriminelle er avhengige av for å få et første fotfeste. Opplæring av ansatte for å oppdage phishing-forsøk, som fortsatt er en ledende leveringsmetode for løsepenge-nyttelaster, runder av en lagdelt forsvarsstrategi som ikke avhenger av å håpe at angripere holder ord.

Hva dette betyr for deg

Spesielt for små og mellomstore bedrifter bør denne forskningen omforme beredskapsplanleggingen. Hvis organisasjonen din noen gang blir rammet av løsepengevirus, bør beslutningen om å betale ikke behandles som en ren utgangsstrategi. Budsjetter og planlegg som om betaling bare kan kjøpe midlertidig lettelse, ikke permanent løsning. Det betyr å ha en dokumentert beredskapsplan, juridisk og regulatorisk veiledning klar på forhånd, og en klar forståelse av at betaling kan invitere til ytterligere målretting i stedet for å avslutte den.

For enkeltpersoner og fjernarbeidere er hovedpoenget mer personlig: de svake punktene angripere utnytter, fra upatchet programvare til usikrede tilkoblinger, er ofte mulig å forebygge med grunnleggende hygiene fremfor dyre verktøy.

Hovedpunkter

  • Halvparten av singaporske organisasjoner rammet av utpressingsangrep betalte angriperne sine, ifølge den nye forskningen.
  • En bemerkelsesverdig andel av løsepengeofre som betalte, mottok likevel et nytt utpressingskrav, noe som gjenspeiler lignende funn globalt.
  • Betaling bør behandles som en siste utvei og ikke en garantert løsning på et pågående angrep.
  • Sterke sikkerhetskopier, sikker fjernaksess og phishing-bevissthet reduserer sjansene for noensinne å måtte ta den avgjørelsen i det hele tatt.
  • Organisasjoner bør planlegge beredskap med antagelse om at angripere kan komme tilbake, fremfor å anta at betaling avslutter trusselen.

Til syvende og sist er forskningen en oppfordring til å flytte fokus fra reaktive betalingsbeslutninger til proaktiv forebygging. Bedriftene som er best posisjonert til å klare et løsepengeangrep, er de som aldri trenger å bestemme seg for om det er verdt risikoen å betale.