Zapłata hakerom ransomware’u nie gwarantuje spokoju

Organizacje, które płacą okup za ransomware, mając nadzieję, że problem zniknie, mogą chcieć przemyśleć tę strategię. Z nowych badań opisanych przez TechRadar wynika, że choć 56% ofiar, które zapłaciły okup, odzyskało dostęp do swoich systemów, ponad jedna trzecia, 37%, została dotknięta drugim żądaniem wymuszenia wkrótce po przekazaniu pierwszej płatności. Kolejne 2% zapłaciło i w ogóle nie odzyskało swoich danych.

Odkrycia te podważają powszechne przekonanie, że zapłacenie okupu za ransomware to prosta transakcja: zapłać, otrzymaj klucz deszyfrujący, działaj dalej. Zamiast tego dane sugerują, że dla znacznej części ofiar pierwsza płatność jest traktowana przez atakujących jako ruch otwierający, a nie rozwiązanie. Jest to zgodne z tym, co pokazują inne niedawne badania. Osobny raport o ransomware wykazał, że prawie połowa organizacji płaci, a następnie negocjuje, co wzmacnia pogląd, że płatności okupu rzadko są czystym, jednorazowym kosztem.

Dlaczego hakerzy wracają po więcej

Logika stojąca za ponowną próbą wymuszenia jest z perspektywy atakującego prosta. Jeśli organizacja-ofiara już udowodniła gotowość i zdolność do zapłaty, staje się bardziej atrakcyjnym celem dla kolejnych żądań. Grupy ransomware wiedzą, że firmy pod presją przywracania działalności, ochrony danych klientów czy unikania kar regulacyjnych często są skłonne zapłacić ponownie, zamiast ryzykować przedłużającą się przerwę w działaniu lub publiczne ujawnienie naruszenia.

Badania podkreślają również inną komplikację w procesie negocjowania okupu: elastyczność cenową. Eksperci cytowani w raporcie zauważają, że operatorzy ransomware często obniżają swoje początkowe żądanie, a niektóre rabaty sięgają nawet 96% pierwotnej ceny. Nie jest to hojność. Odzwierciedla to strategię negocjacyjną, w której pierwsza kwota jest celowo zawyżona, a prawdziwym celem jest po prostu wyciągnięcie od ofiary jakiejkolwiek płatności. Zrozumienie tej dynamiki ma znaczenie, ponieważ pokazuje, że żądania okupu nie są stałymi cenami ustalonymi przez racjonalny rynek. Są to oferty otwierające w negocjacjach zaprojektowanych tak, aby zmaksymalizować to, co i tak już zestresowana organizacja jest skłonna zapłacić.

Podsumowując, zawyżone początkowe żądania, wysokie rabaty i schemat wielokrotnego wymuszenia malują obraz ekosystemu opartego na nacisku, a nie na uczciwej wymianie. Gdy ofiara zapłaci, atakujący mają dowód, że presja działa, a ten punkt danych może zostać wykorzystany ponownie – czy to przeciwko tej samej organizacji, czy udostępniony w kręgach przestępczych jako dowód, że cel jest wart ścigania.

Co to oznacza dla Ciebie

Dla osób fizycznych, małych firm i dużych przedsiębiorstw wniosek nie brzmi: nigdy nie należy płacić okupu w żadnych okolicznościach (to decyzja, którą każda organizacja musi rozważyć na podstawie własnej tolerancji ryzyka i zobowiązań prawnych). Wniosek jest natomiast taki, że płatności nigdy nie należy traktować jako gwarantowanego rozwiązania. Każdy, kto rozważa zapłacenie okupu, musi zaplanować możliwość, że nie będzie to ostatnie żądanie i że odzyskanie danych nie jest pewne nawet po dokonaniu płatności.

Jest to szczególnie istotne dla mniejszych organizacji i osób fizycznych, które mogą nie mieć dedykowanych zespołów reagowania na incydenty. Ten sam raport o ransomware pokazujący, że ofiary płacą, a następnie znów negocjują podkreśla, że nawet dobrze wyposażone firmy mają trudności z zamknięciem sprawy po ataku. Bez profesjonalnego wsparcia w reagowaniu na incydenty szanse na korzystny wynik po zapłaceniu niekoniecznie są lepsze w przypadku mniejszych celów.

Praktyczny wniosek jest taki, że zapobieganie i przygotowanie mają znacznie większe znaczenie niż umiejętności negocjacyjne po fakcie. Niezawodne, przechowywane offline kopie zapasowe, przetestowane procedury odzyskiwania i silne zabezpieczenia punktów końcowych zmniejszają przewagę atakujących. Jeśli organizacja nigdy nie musi rozważać zapłaty, ponieważ może przywrócić dane z kopii zapasowych, cały cykl wymuszenia, w tym ryzyko drugiego żądania, staje się nieistotny.

Praktyczne wskazówki

Kilka konkretnych kroków może zmniejszyć narażenie na ransomware i następujący po nim cykl wymuszeń:

  • Utrzymuj regularne, testowane kopie zapasowe przechowywane offline lub w oddzielnym, izolowanym środowisku, aby odzyskiwanie danych nie zależało od współpracy atakujących.
  • Traktuj każdą płatność okupu jako decyzję biznesową obarczoną realnym ryzykiem kolejnych żądań, a nie jako gwarantowane rozwiązanie.
  • Angażuj organy ścigania i doświadczonych specjalistów ds. reagowania na incydenty przed podjęciem decyzji o zapłacie, ponieważ często mają oni wiedzę na temat historii danej grupy atakującej.
  • Zainwestuj w podstawową higienę bezpieczeństwa, obejmującą łatanie, uwierzytelnianie wieloskładnikowe i segmentację sieci, aby zmniejszyć szansę na stanie się ofiarą w ogóle.

Ostatecznie badanie to przypomina, że zapłata okupu za ransomware nie zapewnia zamknięcia sprawy, a jedynie kupuje szansę. Organizacje, które planują odporność, zamiast polegać na negocjacjach, znajdują się w znacznie lepszej pozycji – niezależnie od tego, czy kiedykolwiek staną przed żądaniem okupu.