Empresas continuam pagando resgates, mostram novos dados

Apesar de anos de orientações incentivando as organizações a recusarem demandas de ransomware, muitas empresas ainda estão pagando criminosos cibernéticos. Um novo estudo da empresa de segurança Proofpoint descobriu que quase um quarto (22%) das empresas que pagaram um resgate foram atingidas novamente com uma segunda exigência de extorsão, um número que levanta sérias questões sobre se pagar realmente resolve alguma coisa.

A pesquisa chega em um momento em que as autoridades estão pressionando mais do que nunca para que as organizações resistam aos invasores. O National Cyber Security Centre (NCSC) do Reino Unido há muito aconselha contra o pagamento de resgates, alertando que isso incentiva novos ataques e não oferece garantia de que os dados roubados ou criptografados serão realmente devolvidos. No entanto, as descobertas da Proofpoint sugerem que os conselhos oficiais e as decisões empresariais do mundo real são frequentemente coisas bem diferentes.

Por que as empresas pagam mesmo assim

Ataques de ransomware colocam as empresas em uma posição nada invejável. Quando os sistemas são bloqueados ou dados sensíveis são ameaçados de exposição pública, os executivos muitas vezes são forçados a ponderar danos à reputação, exposição regulatória e tempo de inatividade operacional contra o custo de um pagamento de resgate. Para muitas organizações, pagar pode parecer o caminho mais rápido de volta à normalidade, mesmo quando especialistas em segurança alertam que raramente funciona de forma tão simples.

Esse cálculo se torna ainda mais arriscado, considerando como o próprio negócio de ransomware se profissionalizou. A negociação tornou-se uma espécie de indústria artesanal, com empresas contratadas especificamente para se comunicar com os invasores e tentar reduzir as exigências. Mas essa indústria não está isenta de controvérsias. Em um caso notável, um negociador profissional foi condenado a 70 meses de prisão por seu papel em um acordo de ransomware BlackCat, um lembrete gritante de que as pessoas que intermediam esses pagamentos nem sempre estão operando no melhor interesse da empresa. Um caso relacionado envolvendo o mesmo negociador, identificado como Martino nos registros do tribunal, ressalta ainda mais como o ecossistema de pagamento de resgate pode se tornar obscuro e juridicamente arriscado uma vez que um intermediário está envolvido.

O custo de privacidade de pagar

A estatística de 22% de extorsão repetida é significativa porque contraria a justificativa central que a maioria das empresas dá para pagar: que isso faz o problema desaparecer. Se quase um quarto das vítimas são atacadas novamente após pagar, o pagamento não está comprando segurança. Pode simplesmente estar confirmando aos invasores que a organização está disposta e é capaz de pagar, tornando-a um alvo mais atraente para ataques futuros.

Há também uma dimensão de privacidade que muitas vezes é negligenciada nessas discussões. Ataques de ransomware frequentemente envolvem o roubo de dados sensíveis, registros de clientes, informações de funcionários, detalhes financeiros, bem antes de qualquer criptografia ocorrer. Pagar um resgate não desfaz essa exposição. Os invasores podem já ter copiado os dados, e um pagamento não oferece garantia verificável de que serão excluídos em vez de vendidos ou vazados posteriormente. Para os indivíduos cujos dados estão dentro dos sistemas de uma empresa violada, a negociação de resgate acontecendo a portas fechadas tem pouca influência sobre se suas informações permanecem privadas.

O que isso significa para você

Se você é um consumidor, esses dados são um lembrete de que a decisão de uma empresa de pagar um resgate não protege necessariamente suas informações pessoais. Notificações de violação e ofertas de monitoramento de crédito após um incidente de ransomware valem a pena ser levadas a sério, independentemente de a empresa afetada dizer que resolveu a situação com os invasores.

Se você trabalha em TI, segurança ou liderança executiva, as descobertas da Proofpoint devem ser consideradas diretamente no planejamento de resposta a incidentes. O pagamento nunca deve ser tratado como uma solução rápida. Organizações que pagaram uma vez parecem continuar sendo alvos atraentes, o que significa que os planos de recuperação precisam incluir um endurecimento pós-incidente mais forte, não apenas uma transferência bancária e um suspiro de alívio.

Recomendações práticas

Algumas etapas práticas podem ajudar a reduzir tanto a probabilidade de um ataque quanto as consequências se um ocorrer:

  • Mantenha backups offline e testados para que as exigências de criptografia percam sua vantagem.
  • Trate qualquer incidente de ransomware como uma violação de dados por padrão, já que os invasores frequentemente exfiltram dados antes de criptografá-los.
  • Consulte as forças da lei e agências como o NCSC desde o início, em vez de pular diretamente para pagamento ou negociação.
  • Se um negociador estiver envolvido, examine-o cuidadosamente devido aos riscos legais destacados por processos recentes.
  • Comunique-se de forma transparente com clientes ou funcionários afetados, independentemente de um resgate ter sido pago.

O ransomware não vai desaparecer, e a tentação de pagar por uma resolução rápida continuará forte. Mas esses novos dados reforçam o que os reguladores vêm dizendo há anos: pagar um resgate raramente é o fim da história, e pode ser apenas o começo de uma segunda.