Firmy wciąż płacą okupy – pokazują nowe dane

Mimo lat zaleceń nakłaniających organizacje do odmawiania żądań okupu, wiele firm wciąż wypłaca pieniądze cyberprzestępcom. Nowe badanie firmy Proofpoint wykazało, że blisko jedna czwarta (22%) firm, które zapłaciły okup, została ponownie zaatakowana drugim żądaniem wymuszenia – liczba ta rodzi poważne pytania o to, czy płacenie faktycznie cokolwiek rozwiązuje.

Badanie pojawia się w momencie, gdy władze naciskają mocniej niż kiedykolwiek, by organizacje trzymały się twardo wobec atakujących. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) od dawna odradza płacenie okupów, ostrzegając, że zachęca to do kolejnych ataków i nie daje żadnej gwarancji, że skradzione lub zaszyfrowane dane faktycznie zostaną zwrócone. Tymczasem wyniki Proofpoint sugerują, że oficjalne zalecenia a rzeczywiste decyzje biznesowe to często dwie zupełnie różne sprawy.

Dlaczego firmy i tak płacą

Ataki ransomware stawiają firmy w nie do pozazdroszczenia sytuacji. Gdy systemy są zablokowane, a wrażliwe dane zagrożone publicznym ujawnieniem, kadra zarządzająca często musi ważyć szkody wizerunkowe, ryzyko regulacyjne i przestoje operacyjne wobec kosztu zapłaty okupu. Dla wielu organizacji zapłata może wydawać się najszybszą drogą powrotu do normalności, nawet gdy eksperci ds. bezpieczeństwa ostrzegają, że rzadko kończy się to tak czysto.

Ten rachunek staje się jeszcze bardziej ryzykowny, biorąc pod uwagę, jak bardzo sam biznes ransomware się sprofesjonalizował. Negocjacje stały się swego rodzaju niszową branżą – wynajmuje się firmy specjalnie po to, by komunikowały się z atakującymi i próbowały obniżyć żądania. Branża ta nie jest jednak wolna od kontrowersji. W jednym z głośnych przypadków zawodowy negocjator został skazany na 70 miesięcy więzienia za swój udział w transakcji z ransomware BlackCat, co stanowi jaskrawe przypomnienie, że osoby pośredniczące w tych płatnościach nie zawsze działają w najlepszym interesie firmy. Powiązana sprawa dotycząca tego samego negocjatora, zidentyfikowanego jako Martino w aktach sądowych, jeszcze dobitniej podkreśla, jak mroczny i ryzykowny prawnie może stać się ekosystem płatności okupowych, gdy w grę wchodzi pośrednik.

Prywatnościowy koszt zapłaty

Statystyka 22% ponownych wymuszeń jest znacząca, ponieważ podważa główne uzasadnienie, jakie podaje większość firm, decydując się na zapłatę: że sprawia to, iż problem znika. Jeśli blisko jedna czwarta ofiar jest ponownie atakowana po zapłacie, oznacza to, że okup nie kupuje bezpieczeństwa. Może po prostu potwierdzać atakującym, że organizacja jest skłonna i zdolna zapłacić, czyniąc ją bardziej atrakcyjnym celem dla przyszłych ataków.

Istnieje również wymiar prywatnościowy, który często jest pomijany w tych dyskusjach. Ataki ransomware bardzo często wiążą się z kradzieżą wrażliwych danych – rekordów klientów, informacji o pracownikach, szczegółów finansowych – na długo przed jakimkolwiek szyfrowaniem. Zapłacenie okupu nie cofa tego naruszenia. Atakujący mogli już skopiować dane, a zapłata nie daje żadnej weryfikowalnej gwarancji, że zostaną one usunięte, a nie sprzedane czy wyciekną później. Dla osób, których dane znajdują się w systemach zhakowanej firmy, negocjacje okupu toczące się za zamkniętymi drzwiami mają niewielki wpływ na to, czy ich informacje pozostaną prywatne.

Co to oznacza dla Ciebie

Jeśli jesteś konsumentem, te dane przypominają, że decyzja firmy o zapłaceniu okupu niekoniecznie chroni Twoje dane osobowe. Powiadomienia o naruszeniu i oferty monitorowania kredytowego po incydencie ransomware warto traktować poważnie, niezależnie od tego, czy dotknięta firma twierdzi, że rozwiązała sytuację z atakującymi.

Jeśli pracujesz w IT, bezpieczeństwie lub kierownictwie wyższego szczebla, wyniki Proofpoint powinny bezpośrednio wpłynąć na planowanie reagowania na incydenty. Płatność nigdy nie powinna być traktowana jako szybkie rozwiązanie. Organizacje, które raz zapłaciły, wydają się pozostawać atrakcyjnymi celami, co oznacza, że plany odzyskiwania muszą obejmować solidniejsze wzmocnienie zabezpieczeń po incydencie, a nie tylko przelew i westchnienie ulgi.

Praktyczne wnioski

Kilka praktycznych kroków może pomóc zmniejszyć zarówno prawdopodobieństwo ataku, jak i jego skutki w razie wystąpienia:

  • Utrzymuj offline'owe, testowane kopie zapasowe, aby żądania szyfrowania straciły swoją siłę przetargową.
  • Traktuj każdy incydent ransomware domyślnie jako naruszenie danych, ponieważ atakujący często eksfiltrują dane przed ich zaszyfrowaniem.
  • Konsultuj się z organami ścigania i agencjami takimi jak NCSC na wczesnym etapie, zamiast od razu przystępować do płatności lub negocjacji.
  • Jeśli zaangażowany jest negocjator, dokładnie go zweryfikuj, mając na uwadze ryzyko prawne uwypuklone przez niedawne postępowania karne.
  • Komunikuj się przejrzyście z dotkniętymi klientami lub pracownikami, niezależnie od tego, czy okup został zapłacony.

Ransomware nie zniknie, a pokusa zapłacenia za szybkie rozwiązanie pozostanie silna. Jednak te nowe dane dodają wagi temu, co regulatorzy powtarzają od lat: zapłacenie okupu rzadko jest końcem historii, a często może być dopiero początkiem kolejnej.