O Que os Novos Dados sobre Pagamentos de Ransomware Mostram

Um novo relatório da empresa de segurança Proofpoint, publicado na quarta-feira, traz uma confirmação desconfortável para qualquer pessoa que já tenha considerado pagar a um grupo de ransomware para resolver um problema: uma parcela significativa das vítimas que pagam acaba enfrentando uma segunda exigência de extorsão. O relatório reforça algo que pesquisadores de segurança e profissionais de resposta a incidentes vêm argumentando há anos: as negociações de ransomware não são conduzidas de boa-fé, e pagar não garante que o atacante realmente se afaste.

Os dados da Proofpoint acrescentam números concretos a um padrão que os defensores há muito suspeitavam com base em relatos. As organizações que atendem a uma exigência de resgate não estão comprando um encerramento. Muitas vezes, estão comprando uma segunda rodada de chantagem para que o mesmo atacante, ou um grupo totalmente diferente, volte e peça mais.

Por Que Pagar um Resgate Convida a um Segundo Ataque

A lógica por trás da extorsão repetida é simples, uma vez que você a considera da perspectiva do atacante. Todo o modelo de negócios de um grupo de ransomware depende de as vítimas acreditarem que o pagamento encerra a crise. Mas não há contrato legal, mecanismo de aplicação ou risco de reputação suficientemente forte para garantir a palavra de um atacante depois que o dinheiro foi transferido. Se uma vítima já demonstrou disposição e capacidade de pagar, ela se torna um alvo mais atraente, não uma conta encerrada.

Isso é parte do motivo pelo qual pesquisadores de segurança descrevem a negociação de ransomware como fundamentalmente diferente de uma transação comercial normal. Não há incentivo para que o outro lado realmente se afaste. Um grupo criminoso que conseguiu extrair um pagamento uma vez tem todos os motivos para testar se a mesma organização pagará novamente, seja recriptografando sistemas, ameaçando vazar dados roubados anteriormente uma segunda vez ou simplesmente abrindo uma nova exigência vinculada à violação original.

Essa dinâmica está intimamente relacionada ao que o setor chama de extorsão dupla ou extorsão múltipla, em que os atacantes não apenas criptografam arquivos, mas também roubam dados previamente, o que lhes dá vários pontos de pressão para pressionar a vítima mesmo depois que o resgate é pago. As descobertas da Proofpoint sugerem que, mesmo depois que a campanha de pressão inicial é bem-sucedida, o poço não necessariamente seca.

Como Violações Não Detectadas Facilitam a Re-extorsão

Uma das razões pelas quais a extorsão repetida funciona tão bem para os atacantes é que muitas vítimas não entendem completamente o escopo de uma violação no momento em que decidem pagar. Se uma organização descobre arquivos criptografados e negocia um resgate sem antes identificar exatamente quais dados foram acessados, copiados ou deixados como porta dos fundos, ela efetivamente concordou com um preço sem saber o que está realmente comprando de volta.

Essa lacuna entre a detecção e a resposta é um tema recorrente na pesquisa sobre ransomware. Conforme abordado em um relatório relacionado sobre falhas na detecção de ransomware, quase metade de todas as vítimas de ransomware perde dados antes mesmo de perceber que um ataque está em andamento. Esse atraso é extremamente relevante aqui: se uma vítima não sabe que um atacante exfiltrou dados semanas antes de implantar o ransomware, pagar para desbloquear arquivos não resolve nada em relação às informações roubadas que permanecem em um servidor criminoso, que podem ser monetizadas novamente por meio de uma segunda exigência, vendidas separadamente ou usadas para uma nova ameaça de vazamento no futuro.

Medidas Defensivas: Backups, Monitoramento e Planejamento de Resposta a Incidentes

A conclusão prática do relatório da Proofpoint não é que o pagamento de resgate nunca deva ser feito em nenhuma circunstância. É que o pagamento nunca deve ser tratado como uma resolução garantida. As organizações, e os indivíduos que gerenciam redes ou negócios menores, se beneficiam mais investindo preventivamente em prevenção e detecção, em vez de reativamente em negociação.

Isso significa manter backups regulares, testados e offline, para que os arquivos criptografados possam ser restaurados sem pagar a ninguém. Significa investir em ferramentas de monitoramento que possam detectar acessos não autorizados a dados antes que os atacantes tenham tempo de exfiltrar grandes volumes de informações confidenciais. E significa ter um plano de resposta a incidentes em vigor antes que um ataque aconteça, que inclua investigação forense para determinar exatamente o que foi acessado, não apenas se os arquivos foram criptografados.

O Que Isso Significa Para Você

Para proprietários de pequenas empresas e indivíduos, a mensagem desta pesquisa é clara: não presuma que pagar um resgate é a solução rápida e limpa que parece ser no momento. Atacantes que já demonstraram disposição para extorquir você uma vez têm tanto os meios quanto o motivo para fazê-lo novamente. A verdadeira defesa contra ataques repetidos de extorsão por ransomware não é uma estratégia melhor de negociação, mas reduzir as chances de você estar nessa posição, em primeiro lugar, por meio de backups sólidos, detecção mais rápida e um plano de resposta claro.

Orientações Práticas

  • Trate o pagamento de resgate como último recurso, não como uma solução garantida, já que os dados da Proofpoint mostram que os atacantes frequentemente retornam com novas exigências.
  • Priorize backups offline e testados para que a criptografia por si só não possa forçar uma decisão de pagamento.
  • Invista em ferramentas de detecção que identifiquem a exfiltração de dados precocemente, pois a detecção tardia dá aos atacantes mais vantagem para a extorsão repetida.
  • Crie um plano de resposta a incidentes antes que um ataque ocorra, incluindo etapas forenses para determinar o escopo total de qualquer violação.
  • Assuma que quaisquer dados roubados antes do pagamento do resgate permanecem como um risco futuro, independentemente do que os atacantes prometam.