Å betale løsepengehackere garanterer ikke fred

Organisasjoner som betaler et løsepengekrav i håp om å få problemet til å forsvinne, bør kanskje revurdere denne strategien. Ny forskning omtalt av TechRadar fant at mens 56 % av ofrene som betalte løsepenger, fikk tilgang til systemene sine igjen, ble mer enn en tredjedel, 37 %, rammet av et nytt utpressingskrav kort tid etter å ha betalt det første. Ytterligere 2 % betalte og fikk aldri tilbake dataene sine i det hele tatt.

Funnene utfordrer en vanlig antagelse om at det å betale et løsepengekrav er en enkel transaksjon: betal, få en dekrypteringsnøkkel, gå videre. I stedet tyder dataene på at for en betydelig andel av ofrene, blir den første betalingen behandlet av angriperne som et åpningstrekk snarere enn en løsning. Dette stemmer overens med hva annen nyere forskning har vist. En separat rapport om løsepengevirus fant at nesten halvparten av organisasjonene betaler, og deretter forhandler, noe som forsterker ideen om at løsepengebetalinger sjelden er en ren engangskostnad.

Hvorfor hackere kommer tilbake for mer

Logikken bak et gjentatt utpressingsforsøk er enkel fra angriperens perspektiv. Hvis en offerorganisasjon allerede har vist vilje og evne til å betale, blir den organisasjonen et mer attraktivt mål for oppfølgingskrav. Løsepengegrupper vet at selskaper under press for å gjenopprette driften, beskytte kundedata eller unngå regulatoriske bøter, ofte er villige til å betale igjen i stedet for å risikere langvarig nedetid eller offentlig avsløring av et datainnbrudd.

Forskningen peker også på en annen rynke i forhandlingsprosessen om løsepenger: prisfleksibilitet. Eksperter som siteres i rapporten, påpeker at løsepengeaktører ofte senker det opprinnelige kravet, der enkelte rabatter kan være på opptil 96 % av den opprinnelige prisen. Dette er ikke raushet. Det gjenspeiler en forhandlingsstrategi der det første tallet er bevisst oppblåst, og det egentlige målet er ganske enkelt å presse en eller annen betaling fra offeret. Å forstå denne dynamikken er viktig fordi den viser at løsepengekrav ikke er faste priser satt av et rasjonelt marked. De er åpningsbud i en forhandling utformet for å maksimere det en allerede stresset organisasjon er villig til å betale.

Samlet sett tegner de oppblåste innledende kravene, de store rabattene og mønsteret med gjentatt utpressing et bilde av et økosystem bygget rundt pressmidler snarere enn rettferdig bytte. Når et offer betaler, har angriperne bevis på at press fungerer, og dette datapunktet kan brukes igjen, enten mot den samme organisasjonen eller deles innad i kriminelle miljøer som bevis på at et mål er verdt å forfølge.

Hva dette betyr for deg

For enkeltpersoner, små bedrifter og store virksomheter er konklusjonen ikke at løsepenger aldri bør betales under noen omstendigheter (det er en beslutning hver organisasjon må vurdere basert på egen risikotoleranse og juridiske forpliktelser). Konklusjonen er snarere at betaling aldri bør behandles som en garantert løsning. Alle som vurderer å betale løsepenger, må planlegge for muligheten for at det ikke blir det siste kravet, og at gjenoppretting av data ikke er sikret selv etter at pengene har skiftet hender.

Dette er spesielt relevant for mindre organisasjoner og enkeltpersoner som kanskje ikke har dedikerte team for hendelseshåndtering. Den samme rapporten om løsepengevirus som viser at ofre betaler og deretter forhandler på nytt understreker at selv ressurssterke selskaper sliter med å avslutte prosessen etter et angrep. Uten profesjonell støtte til hendelseshåndtering er sjansene for et gunstig utfall etter betaling ikke nødvendigvis bedre for mindre mål.

Den praktiske implikasjonen er at forebygging og forberedelse betyr langt mer enn forhandlingsevner i etterkant. Pålitelige, frakoblede sikkerhetskopier, testede gjenopprettingsprosedyrer og sterk endepunktssikkerhet reduserer pressmidlene angriperne har i utgangspunktet. Hvis en organisasjon aldri trenger å vurdere å betale fordi den kan gjenopprette fra sikkerhetskopier, blir hele utpressingssyklusen, inkludert risikoen for et nytt krav, irrelevant.

Konkrete tiltak

  • Sørg for regelmessige, testede sikkerhetskopier som lagres frakoblet eller i et separat, isolert miljø, slik at gjenoppretting ikke avhenger av angriperens samarbeid.
  • Behandle enhver løsepengebetaling som en forretningsbeslutning med reell risiko for oppfølgingskrav, ikke som en garantert løsning.
  • Involver politiet og erfarne fagfolk innen hendelseshåndtering før avgjørelser om betaling tas, siden de ofte har innsikt i angripergruppens historikk.
  • Invester i grunnleggende sikkerhetshygiene, inkludert oppdatering, flerfaktorautentisering og nettverkssegmentering, for å redusere sjansen for å bli offer i utgangspunktet.

Til syvende og sist er denne forskningen en påminnelse om at en løsepengebetaling ikke kjøper avslutning, den kjøper en sjanse. Organisasjoner som planlegger for resiliens i stedet for å stole på forhandlinger, er i en langt sterkere posisjon, enten de noen gang blir utsatt for et løsepengekrav eller ikke.