Blisko połowa wciąż płaci, ale najpierw się targuje

Nowy raport, który krąży w branży, maluje znajomy, choć niewygodny obraz: prawie połowa organizacji dotkniętych szyfrowaniem ransomware ostatecznie płaci okup. Różnica polega na tym, że mniej więcej połowa tych ofiar nie przekazuje po prostu całej żądanej kwoty. Zamiast tego negocjują, często skłaniając atakujących do zaakceptowania mniejszej sumy niż pierwotna cena wywoławcza, zanim odblokują zaszyfrowane pliki.

Na pierwszy rzut oka może to brzmieć jak małe zwycięstwo ofiar. Skłonienie grupy przestępczej do obniżenia ceny wydaje się drobnym sukcesem w skądinąd złej sytuacji. Ale większa historia nie dotyczy tego, kto jest lepszy w targowaniu się. Chodzi o to, co oznacza fakt, że płacenie okupu i negocjowanie z przestępcami stało się znormalizowaną częścią reakcji organizacji na cyberataki.

Dlaczego firmy płacą, zamiast zrezygnować

Ransomware działa poprzez szyfrowanie plików i systemów organizacji, czyniąc je bezużytecznymi do czasu dostarczenia klucza deszyfrującego, zazwyczaj w zamian za zapłatę. Dla firm bez solidnych kopii zapasowych lub tych stojących pod presją szybkiego przywrócenia operacji, zapłacenie może wydawać się najszybszą drogą powrotu do normalności. Ten rachunek jest jeszcze łatwiejszy do uzasadnienia, gdy atakujący jest skłonny zejść z ceny, co według raportu zdarza się często.

Ta dynamika negocjacji nie jest nowością w ekonomii ransomware. Wiele operacji ransomware działa dziś jak firmy — z czatami wsparcia, portalami płatności i, owszem, przestrzenią do negocjacji. Ta profesjonalizacja jest częściowo powodem, dla którego płacenie stało się tak powszechnym wynikiem, a nie ostatecznością.

Ale płacenie nie gwarantuje czystego rozwiązania. Nawet gdy okup zostanie zapłacony, a klucz deszyfrujący przekazany, nie ma gwarancji, że atakujący nie skopiowali wcześniej wrażliwych danych przed ich zaszyfrowaniem. To kluczowy szczegół, który często ginie w rozmowach o negocjacjach okupu: zapłata dotyczy zwykle przywrócenia dostępu do plików, a nie cofnięcia naruszenia, które mogło już nastąpić.

Ryzyko prywatności ukryte za każdą zapłatą okupu

W tym miejscu historia łączy się ze znacznie większym problemem prywatności. Ataki ransomware coraz częściej obejmują kradzież danych obok szyfrowania, co oznacza, że atakujący wykradają kopie wrażliwych plików przed zablokowaniem oryginałów. Powiązane doniesienia wykazały, że 49% ofiar ransomware traci dane przed wykryciem ataku, co oznacza, że zanim żądanie okupu w ogóle dotrze, szkody dla danych osobowych i organizacyjnych mogą być już wyrządzone.

Ten szczegół ma ogromne znaczenie dla każdego, czyje dane osobowe znajdują się w systemach organizacji — czy to pracodawcy, świadczeniodawcy opieki zdrowotnej, szkoły czy sprzedawcy internetowego. Udana negocjacja kwoty okupu nie cofa kradzieży danych, która już nastąpiła. Nie powstrzymuje też atakujących przed późniejszą sprzedażą lub wyciekiem tych danych, niezależnie od tego, czy okup został zapłacony w całości, wynegocjowany w dół czy całkowicie odrzucony.

Zapłacenie okupu, nawet obniżonego, ryzykuje również wzmocnieniem samego modelu biznesowego. Każda udana płatność, wynegocjowana czy nie, sygnalizuje atakującym, że ransomware pozostaje opłacalny, co utrzymuje strukturę zachęt w nienaruszonym stanie dla przyszłych ataków na inne organizacje.

Co to oznacza dla Ciebie

Większość osób czytających statystyki dotyczące płatności ransomware nie należy do grona decydujących o tym, czy zapłacić. Ta decyzja zwykle należy do kierownictwa IT, kadry zarządzającej lub zespołów reagowania na incydenty. Ale konsekwencje rozchodzą się na zewnątrz, dotykając pracowników, klientów i wszystkich, których dane znajdują się w zaatakowanych systemach.

Jeśli otrzymasz powiadomienie o naruszeniu od firmy, która doświadczyła ataku ransomware, potraktuj je poważnie, niezależnie od tego, czy w wiadomości wspomniano o zapłaceniu okupu. Kradzież danych może nastąpić przed rozpoczęciem szyfrowania, więc zapłacony okup i przywrócony system niekoniecznie oznaczają, że Twoje informacje są bezpieczne. Obserwuj oznaki kradzieży tożsamości, monitoruj swoje konta i rozważ monitorowanie kredytu, jeśli organizacja oferuje je po incydencie.

Dla firm i zespołów IT trend negocjacyjny jest przypomnieniem, że planowanie reagowania musi uwzględniać ekspozycję danych, a nie tylko przestoje systemów. Kopie zapasowe pomagają uniknąć płacenia za klucz deszyfrujący, ale nie zapobiegają wyciekowi lub sprzedaży skradzionych danych, jeśli atakujący już je wcześniej wykradli.

Praktyczne wnioski

  • Nie zakładaj, że zapłacony okup oznacza, że Twoje dane nigdy nie zostały skopiowane lub ujawnione; pytaj bezpośrednio dotknięte organizacje, co zostało potwierdzone jako skradzione.
  • Monitoruj konta i aktywność kredytową po każdym powiadomieniu o naruszeniu, nawet jeśli firma twierdzi, że okup został rozwiązany.
  • Jeśli prowadzisz firmę, priorytetowo traktuj wczesne wykrywanie i segmentację sieci, aby atakujący mieli mniej czasu na wykradanie danych przed uderzeniem szyfrowania.
  • Zrozum, że negocjacja okupu obniża koszt, ale nie ryzyko; ekspozycja skradzionych danych pozostaje odrębnym i trwałym zagrożeniem.

Trendy w płatnościach ransomware prawdopodobnie nadal będą trafiać na pierwsze strony gazet, ponieważ coraz więcej organizacji waży koszt zapłaty w stosunku do kosztu odbudowy. Ale dla zwykłych użytkowników prawdziwy wniosek nie dotyczy taktyk negocjacyjnych. Chodzi o zachowanie czujności wobec tego, co dzieje się z Twoimi danymi długo po tym, jak nagłówki o zapłacie okupu przeminą.