Nowe badanie z Singapuru przynosi niewygodne przypomnienie dla firm rozważających, czy zapłacić okup za ransomware: zapłata często nie kończy gehenny. Według doniesień Singapore Business Review, 50% lokalnych organizacji dotkniętych atakami wymuszającymi haracz przekazało pieniądze swoim atakującym, a uderzająca część tych ofiar ransomware, które zapłaciły, stanęła później w obliczu drugiego żądania.

To odkrycie przeczy powszechnemu założeniu, że zapłacenie okupu to szybki sposób na pozbycie się kosztownego problemu. W przypadku wielu organizacji wydaje się to działać odwrotnie: sygnalizuje grupom przestępczym, że ofiara jest zarówno skłonna, jak i zdolna do zapłaty, co czyni ją idealnym kandydatem do rundy drugiej.

Co wykazało badanie

Kluczowa liczba z badania jest prosta, ale otrzeźwiająca. Połowa ankietowanych organizacji w Singapurze, które doświadczyły ataku ransomware lub wymuszenia, zdecydowała się zapłacić atakującym. To decyzja rzucania monetą podejmowana pod ogromną presją, często przy zaszyfrowanych systemach, wstrzymanych operacjach i widmie utraty reputacji, które wpływają na wynik.

To, co czyni ten zestaw danych szczególnie godnym uwagi, to kontynuacja: znaczna część tych, którzy zapłacili, nie uzyskała zamknięcia sprawy. Zamiast tego otrzymali drugie żądanie okupu, czy to od tej samej grupy wracającej po więcej, czy od powiązanego aktora wykorzystującego ten sam dostęp lub wyciekłe dane. Ten schemat nie jest unikalny dla Singapuru. Podobne odkrycia pojawiły się gdzie indziej, w tym analiza pokazująca, że gangi ransomware ponownie wymuszają okup od 22% ofiar, które już zapłaciły, a oddzielne badania z Nowej Zelandii wykazały, że około 1 na 5 płatności okupu zostało zdradzonych przez atakujących, którzy wrócili po więcej pomimo otrzymania zapłaty.

Razem, te punkty danych malują spójny obraz na różnych rynkach: zapłacenie okupu nie gwarantuje niezawodnie bezpieczeństwa, a w znaczącej liczbie przypadków może zwiększyć szanse na ponowne celowanie.

Dlaczego atakujący wracają po więcej

Logika behawioralna jest tu prosta, gdy rozważy się ją z perspektywy przestępcy. Ofiara, która już zapłaciła, wykazała trzy rzeczy cenne dla szantażysty: ma dostępne pieniądze, zdecydowała, że zapłata jest lepsza od alternatywy, i może nie mieć technicznych zabezpieczeń, aby zapobiec powtórnej intruzji.

Operacje ransomware coraz bardziej przypominają firmy z własnymi wewnętrznymi wskaźnikami. Płacący klient, mówiąc wprost, jest sprawdzonym tropem. Niektóre grupy działają również jako partnerzy lub franczyzy, co oznacza, że dane ofiary lub dostęp do sieci mogą zostać odsprzedane lub ponownie wykorzystane przez zupełnie inną grupę przestępczą, skutkując drugim żądaniem niemającym nic wspólnego z grupą stojącą za pierwszym atakiem. Tak czy inaczej, ofiara ponosi podwójne ryzyko.

Ta dynamika jest dokładnie tym, dlaczego agencje ds. cyberbezpieczeństwa i badacze od dawna ostrzegają przed traktowaniem zapłaty okupu jako rozwiązania, a nie tymczasowego i zawodnego środka doraźnego.

Poza płatnościami okupu: budowanie prawdziwej obrony

Jeśli zapłata nie jest gwarantowanym rozwiązaniem, na czym zamiast tego powinny skupić energię organizacje i osoby prywatne? Odpowiedź leży w zmniejszaniu szans na udany atak w pierwszej kolejności oraz ograniczaniu szkód, gdy już do niego dojdzie.

Zaczyna się to od podstaw: utrzymywania offline'owych, przetestowanych kopii zapasowych, aby zaszyfrowane dane można było przywrócić bez negocjacji z atakującymi. Oznacza to również zaostrzenie kontroli dostępu zdalnego, ponieważ skompromitowane poświadczenia i odsłonięte protokoły zdalnego pulpitu pozostają powszechnymi punktami wejścia dla grup ransomware. Szyfrowanie wrażliwego ruchu i korzystanie z bezpiecznych, dobrze skonfigurowanych połączeń VPN do pracy zdalnej i hybrydowej może zmniejszyć powierzchnię ataku, na której polegają przestępcy, aby zdobyć początkowy przyczółek. Szkolenie pracowników w zakresie rozpoznawania prób phishingu, które pozostają wiodącą metodą dostarczania ładunków ransomware, dopełnia warstwową strategię obrony, która nie polega na nadziei, że atakujący dotrzymają słowa.

Co to oznacza dla Ciebie

W szczególności dla małych i średnich firm, te badania powinny zmienić planowanie reagowania na incydenty. Jeśli Twoja organizacja kiedykolwiek zostanie dotknięta ransomware, decyzji o zapłacie nie należy traktować jako czystej strategii wyjścia. Budżetuj i planuj tak, jakby zapłata mogła przynieść jedynie tymczasową ulgę, a nie trwałe rozwiązanie. Oznacza to posiadanie udokumentowanego planu reagowania na incydenty, gotowe z wyprzedzeniem wskazówki prawne i regulacyjne oraz jasne zrozumienie, że zapłata może zaprosić do dalszego celowania, zamiast je zakończyć.

Dla osób prywatnych i pracowników zdalnych, wniosek jest bardziej osobisty: słabe punkty, które wykorzystują atakujący, od niełatkowanego oprogramowania po niezabezpieczone połączenia, często można wyeliminować dzięki podstawowej higienie, a nie drogim narzędziom.

Kluczowe wnioski

  • Połowa organizacji w Singapurze dotkniętych atakami wymuszającymi haracz zapłaciła atakującym, zgodnie z nowymi badaniami.
  • Znaczna część ofiar ransomware, które zapłaciły, nadal otrzymała drugie żądanie okupu, co odzwierciedla podobne globalne odkrycia.
  • Płatność powinna być traktowana jako ostateczność, a nie gwarantowane rozwiązanie aktywnego ataku.
  • Solidne kopie zapasowe, bezpieczny dostęp zdalny i świadomość phishingu zmniejszają szanse na to, że kiedykolwiek staniesz przed tą decyzją.
  • Organizacje powinny planować reagowanie na incydenty, zakładając, że atakujący mogą wrócić, zamiast zakładać, że zapłata kończy zagrożenie.

Ostatecznie badanie jest wezwaniem do przesunięcia uwagi z reaktywnych decyzji o płatności na proaktywną prewencję. Firmy najlepiej przygotowane na przetrwanie ataku ransomware to te, które nigdy nie muszą decydować, czy warto ryzykować zapłatę.