Por que 1 em cada 5 pagamentos de ransomware ainda termina em traição

As empresas da Nova Zelândia que estão avaliando se pagam um pedido de resgate de ransomware acabaram de receber um dado preocupante. De acordo com informações sobre quais empresas neozelandesas têm maior probabilidade de serem alvo de hackers de ransomware, 80% das vítimas que pagaram receberam uma chave de descriptografia funcional e não tiveram seus dados roubados vazados, conforme prometido. Isso parece tranquilizador até você inverter o número: em um de cada cinco casos, as vítimas pagaram e não receberam nada. Sem chave, sem arquivos excluídos, sem acordo honrado.

Este é o cerne desconfortável dos riscos de pagamento de resgate de ransomware. Todo o modelo de extorsão depende de as vítimas acreditarem que os criminosos cumprirão sua palavra, porque uma reputação de confiabilidade mantém as futuras vítimas pagando. Mas a reputação entre grupos criminosos não é um contrato legal, e o relatório deixa claro que alguns operadores simplesmente pegam o dinheiro e vão embora, ou pior, voltam para pedir mais.

Como os grupos de ransomware miram e re-extorquem as vítimas

Um dos detalhes mais preocupantes do relatório envolve um grupo chamado SpaceBears, que supostamente re-extorquiu vítimas que já haviam pago um resgate uma vez. Em vez de tratar o pagamento como o fim de um incidente, essas vítimas se viram de volta à estaca zero, enfrentando uma segunda exigência pelos mesmos dados roubados. Essa tática mina a premissa básica de que pagar resolve o problema. Se um grupo criminoso tem seus dados, um único pagamento não garante que eles desapareçam de sua posse ou da posse de qualquer um para quem eles os vendam posteriormente.

Os grupos de ransomware tendem a focar em organizações que acreditam ter maior probabilidade de pagar rapidamente, muitas vezes porque o custo do tempo de inatividade ou do dano à reputação supera o próprio resgate. Os custos de recuperação após um ataque são consistentemente altos, abrangendo investigação forense, reconstrução de sistemas, consultoria jurídica e possíveis obrigações de notificação regulatória. Essa pressão financeira é exatamente com o que os atacantes contam ao definir o preço e o prazo.

Reduzindo a exposição: Noções básicas de proteção de dados e higiene de segurança

Considerando que mesmo um pagamento bem-sucedido carrega aproximadamente 20% de chance de falha, e que alguns grupos podem explorar vítimas duas vezes, a estratégia mais duradoura é reduzir as chances de um ataque bem-sucedido em primeiro lugar. Isso começa com a higiene de segurança básica, mas muitas vezes negligenciada: backups offline ou imutáveis regulares que o ransomware não consegue alcançar, aplicação de patches em vulnerabilidades conhecidas em tempo hábil, autenticação multifatorial em todos os pontos de acesso remoto e segmentação de rede para que uma única conta comprometida não possa se transformar em um evento de criptografia em larga escala.

A minimização de dados importa tanto quanto as defesas técnicas. Organizações que armazenam menos dados confidenciais, os retêm por períodos mais curtos e criptografam o que mantêm dão aos atacantes menos poder de barganha mesmo que ocorra uma violação. É aqui também que entender a jurisdição de VPN se torna relevante para empresas e indivíduos que lidam com tráfego sensível. O país onde um provedor de serviços está legalmente estabelecido determina quais dados ele pode ser obrigado a entregar e quais recursos legais as vítimas têm se algo der errado. Escolher ferramentas e fornecedores com uma posição jurisdicional clara e favorável faz parte de uma postura de defesa mais ampla, não uma preocupação separada da prevenção de ransomware.

As conversas mais amplas sobre política digital na Nova Zelândia também se cruzam com essa questão. Como mostram as discussões em torno dos planos de verificação de idade da Nova Zelândia, o país está debatendo ativamente quantos dados pessoais as plataformas e os reguladores devem coletar e reter. Cada novo conjunto de informações pessoais armazenadas é um potencial alvo de ransomware, o que torna a minimização de dados uma questão de política pública, além de corporativa.

O que isso significa para empresas e usuários comuns

Para as empresas neozelandesas, a conclusão não é que pagar um resgate é sempre inútil. O índice de 80% mostra que os atacantes frequentemente cumprem. Mas tratar o pagamento como uma apólice de seguro confiável é um erro que os dados não sustentam. Uma taxa de falha de um em cada cinco, combinada com casos documentados de extorsão repetida, significa que o pagamento deve ser um último recurso ponderado em relação a fatores legais, financeiros e de reputação, não uma resposta padrão incorporada a um plano de resposta a incidentes.

Para os usuários comuns, a lição é semelhante em menor escala. Cópias de segurança pessoais, senhas exclusivas e o manuseio cuidadoso de anexos de e-mail e links continuam sendo as defesas mais baratas e eficazes contra o ransomware que, eventualmente, chega aos indivíduos por meio de campanhas de phishing. A recuperação após o fato, seja você uma grande empresa ou um usuário doméstico, é cara e incerta em comparação com a prevenção.

Principais conclusões

  • Cerca de 20% das vítimas de ransomware que pagam não recebem nada em troca, apesar das promessas de chaves de descriptografia e exclusão de dados.
  • Alguns grupos de ransomware, incluindo o SpaceBears, re-extorquiram vítimas que já haviam pago uma vez.
  • Backups offline confiáveis e controles de acesso fortes reduzem totalmente a dependência de pagamentos de resgate.
  • A minimização de dados e a conscientização sobre a jurisdição do provedor reduzem o poder de barganha que os atacantes podem ter sobre você.
  • Os riscos de pagamento de resgate de ransomware devem ser considerados no planejamento de resposta a incidentes de todas as organizações, não apenas no custo imediato da exigência.

Entender os riscos de pagamento de resgate de ransomware é, em última análise, reconhecer que a prevenção, a disciplina de backup e o manuseio cuidadoso de dados oferecem mais certeza do que confiar que uma empresa criminosa honrará seu lado de um acordo de extorsão.