Badanie Proofpoint: Płacenie gangom ransomware często przynosi odwrotny skutek

Płatności ransomware rzadko kończą zagrożenie, wynika z badania

Nowe badanie firmy bezpieczeństwa Proofpoint dostarcza nowych liczb stojących za ostrzeżeniem, które organy ścigania powtarzają od lat: płacenie gangowi ransomware rzadko sprawia, że problem znika. Zgodnie z badaniami, 58 procent ankietowanych firm w Wielkiej Brytanii przyznało się do zapłacenia okupu po ataku ransomware. Dane sugerują jednak, że ta decyzja często przynosi więcej kłopotów niż zakończenia sprawy.

Badanie wykazało, że około 22 procent organizacji, które zapłaciły okup, zostało ponownie szantażowanych przez tych samych atakujących, czasem w związku z dodatkowymi płatnościami za te same skradzione dane. W niektórych przypadkach ofiary zapłaciły raz, aby odblokować swoje systemy, a po kilku tygodniach lub miesiącach skontaktowano się z nimi z nowymi groźbami ujawnienia tych samych informacji, chyba że dokonają kolejnej płatności. Jeszcze bardziej niepokojące jest to, że około 2 procent ofiar, które zapłaciły okup, w ogóle nie odzyskało swoich plików, albo dlatego, że narzędzia deszyfrujące dostarczone przez atakujących zawiodły, albo dlatego, że przestępcy po prostu nigdy nie zamierzali dotrzymać obietnicy.

Ten schemat pokrywa się z tym, co FBI i Europol powtarzają firmom od lat: płatności okupu finansują działalność przestępczą, rzadko gwarantują czyste rozwiązanie i mogą oznaczyć organizację jako łatwy cel, który jest skłonny zapłacić ponownie.

Dlaczego płatności okupu zachęcają do ponownych ataków

Logika stojąca za powtarzającym się wymuszeniem jest z przestępczej perspektywy prosta. Gdy firma wykaże, że zapłaci, aby problem zniknął, staje się ona znaną ilością dla atakujących, a często także dla innych grup przestępczych, które handlują danymi ofiar na forach podziemnych. Zapłacenie okupu niekoniecznie oznacza, że skradzione dane zostały usunięte. W wielu przypadkach kopie pozostają na infrastrukturze atakujących, są udostępniane grupom partnerskim lub są po cichu przechowywane jako dźwignia do drugiej rundy żądań.

To właśnie ten kluczowy dylemat podkreślają dane Proofpoint: krótkoterminowa ulga wynikająca z zapłacenia w celu przywrócenia operacji może stworzyć długoterminowe zobowiązanie. Atakujący wiedzą, że firma pod presją wznowienia działalności, ochrony zaufania klientów i uniknięcia kontroli regulacyjnej jest bardziej skłonna zapłacić ponownie, niż zrezygnować i zaakceptować skutki wycieku danych. To właśnie ten rachunek napędza ponowne wymuszenia i dlatego badacze bezpieczeństwa wciąż opisują płacenie okupu jako decyzję, która wymienia natychmiastowy kryzys na potencjalnie większy, powtarzający się problem. W relacji z tego samego badania Proofpoint na temat powtarzających się ataków ransomware zauważono, że struktura zachęt dla atakujących tylko się umacnia, gdy ofiara udowodni, że jest skłonna zapłacić.

Konsekwencje dla prywatności wykraczające poza okup

Podczas gdy doniesienia o ransomware często koncentrują się na przestojach operacyjnych, implikacje dla prywatności zasługują na równą uwagę. Gdy firma płaci okup, aby zapobiec ujawnieniu danych, w rzeczywistości ufa przedsiębiorstwu przestępczemu, że dotrzyma obietnicy bez żadnej wykonalności prawnej. Akta klientów, dane pracowników, szczegóły finansowe i informacje zdrowotne mogą pozostać narażone na odsprzedaż lub wyciek niezależnie od płatności. Dla osób, których dane znajdują się w tych naruszonych systemach, zapłata okupu nie daje żadnej realnej gwarancji, że ich dane osobowe są bezpieczne.

Jest to szczególnie istotne dla organizacji przetwarzających wrażliwe dane osobowe, gdzie naruszenie może uruchomić obowiązki powiadomienia, kary regulacyjne i trwałe szkody reputacyjne długo po zapłaceniu jakiegokolwiek okupu. Wyniki badania potwierdzają, że ransomware to nie tylko incydent IT. To incydent dotyczący prywatności, którego konsekwencje mogą powrócić długo po tym, jak znikną pierwsze nagłówki.

Co to oznacza dla Ciebie

Jeśli prowadzisz firmę lub zarządzasz w niej decyzjami IT i bezpieczeństwa, wniosek z tego badania jest jasny: zapłacenie okupu nie jest gwarantowaną drogą do rozwiązania problemu i może zwiększyć twoją ekspozycję na przyszłe ataki. Decyzje podejmowane w panice podczas aktywnego incydentu należy rozważyć w obliczu rzeczywistości, że atakujący często przechowują skradzione dane niezależnie od zapłaty, a widoczna gotowość do zapłaty może uczynić organizację celem ponownych ataków.

Dla zwykłych konsumentów jest to przypomnienie, że naruszenia danych związane z atakami ransomware mogą mieć dłuższy ogon, niż sugerują pierwsze doniesienia medialne. Dane osobowe ujawnione w jednym incydencie mogą pojawić się ponownie w późniejszych wyciekach, nawet jeśli firma, której dotyczył, poinformowała, że sytuacja została rozwiązana.

Kluczowe wnioski

• Niemal sześć na dziesięć ankietowanych brytyjskich organizacji zapłaciło okup po ataku, zgodnie z danymi Proofpoint.
• Około 22 procent tych, którzy zapłacili, zostało ponownie szantażowanych, często z wykorzystaniem tych samych skradzionych danych.
• Niewielki odsetek ofiar, które zapłaciły, w ogóle nie odzyskał dostępu do swoich plików.
• Organy ścigania, w tym FBI i Europol, nadal odradzają płacenie żądań okupu.
• Firmy powinny inwestować w planowanie reagowania na incydenty, kopie zapasowe offline i gotowość do powiadomień o naruszeniach, zamiast traktować płatność okupu jako szybkie rozwiązanie.

Ransomware pozostaje uporczywym zagrożeniem, ale to badanie dodaje wagi przesłaniu, które specjaliści ds. bezpieczeństwa głoszą od lat: płacenie nie kupuje spokoju ducha. Zarówno organizacje, jak i osoby indywidualne lepiej chroni zapobieganie, przygotowanie i sceptycyzm wobec wszelkich obietnic składanych przez przestępców przetrzymujących skradzione dane jako zakładnika.