Pagamentos de resgate raramente eliminam a ameaça, conclui pesquisa

Uma nova pesquisa da empresa de segurança Proofpoint está trazendo números atualizados para um alerta que as autoridades policiais repetem há anos: pagar a uma gangue de ransomware raramente resolve o problema. De acordo com a pesquisa, 58% das empresas pesquisadas no Reino Unido admitiram ter pago um resgate após um ataque de ransomware. Mas os dados sugerem que essa decisão frequentemente atrai mais problemas em vez de encerrar a situação.

A pesquisa descobriu que cerca de 22% das organizações que pagaram um resgate foram extorquidas novamente pelos mesmos atacantes, às vezes com pagamentos adicionais relacionados aos mesmos dados roubados. Em alguns casos, as vítimas pagaram uma vez para desbloquear seus sistemas apenas para serem contatadas semanas ou meses depois com novas ameaças de vazar as mesmas informações, a menos que outro pagamento fosse feito. Ainda mais preocupante, cerca de 2% das vítimas que pagaram nunca recuperaram seus arquivos, seja porque as ferramentas de descriptografia fornecidas pelos atacantes falharam, ou porque os criminosos simplesmente nunca pretenderam cumprir sua promessa.

Esse padrão se alinha com o que o FBI e a Europol vêm dizendo às empresas há anos: pagamentos de resgate financiam operações criminosas, raramente garantem uma resolução definitiva e podem marcar uma organização como um alvo fácil disposto a pagar novamente.

Por que o pagamento de resgates convida a ataques repetidos

A lógica por trás da extorsão repetida é simples do ponto de vista do criminoso. Uma vez que uma empresa demonstrou que pagará para fazer um problema desaparecer, ela se torna uma quantidade conhecida para os atacantes e, muitas vezes, para outros grupos criminosos que compram e vendem dados de vítimas em fóruns clandestinos. Pagar um resgate não significa necessariamente que os dados roubados foram excluídos. Em muitos casos, cópias permanecem na infraestrutura dos atacantes, são compartilhadas com grupos afiliados ou são discretamente mantidas como instrumento de pressão para uma segunda rodada de exigências.

Essa é a tensão central que os dados da Proofpoint destacam: o alívio de curto prazo de pagar para restaurar as operações pode criar um passivo de longo prazo. Os atacantes sabem que uma empresa pressionada a retomar os negócios, proteger a confiança dos clientes e evitar o escrutínio regulatório tem mais probabilidade de pagar novamente do que de se afastar e aceitar as consequências de um vazamento de dados. Esse cálculo é exatamente o que alimenta a reextorsão, e é por isso que os pesquisadores de segurança continuam a descrever o pagamento de resgate como uma decisão que troca uma crise imediata por uma potencialmente maior e recorrente. A cobertura desta mesma pesquisa da Proofpoint sobre ataques repetidos de ransomware observou que a estrutura de incentivos para os atacantes só se fortalece quando uma vítima demonstra disposição para pagar.

As consequências para a privacidade além do resgate

Embora a cobertura de ransomware frequentemente se concentre no tempo de inatividade operacional, as implicações para a privacidade merecem igual atenção. Quando uma empresa paga um resgate para evitar a exposição de dados, está efetivamente confiando que uma organização criminosa honrará uma promessa sem qualquer exequibilidade legal. Registros de clientes, dados de funcionários, detalhes financeiros e informações de saúde podem permanecer expostos à revenda ou vazamento, independentemente do pagamento. Para as pessoas cujos dados estão nesses sistemas violados, um pagamento de resgate não oferece garantia real de que suas informações pessoais estão seguras.

Isso é particularmente relevante para organizações que lidam com dados pessoais sensíveis, onde uma violação pode desencadear obrigações de notificação, penalidades regulatórias e danos duradouros à reputação muito depois de qualquer resgate ter sido pago. As conclusões da pesquisa reforçam que o ransomware não é apenas um incidente de TI. É um incidente de privacidade com consequências que podem ressurgir muito depois que as manchetes iniciais desaparecerem.

O que isso significa para você

Se você administra uma empresa, ou gerencia decisões de TI e segurança para uma, a lição desta pesquisa é clara: pagar um resgate não é um caminho garantido para a resolução e pode aumentar sua exposição a ataques futuros. As decisões tomadas no pânico de um incidente em andamento devem ser ponderadas diante da realidade de que os atacantes frequentemente mantêm os dados roubados independentemente do pagamento, e que a disposição visível de pagar pode tornar uma organização um alvo recorrente.

Para os consumidores comuns, este é um lembrete de que as violações de dados associadas a ataques de ransomware podem ter uma cauda mais longa do que a cobertura inicial da imprensa sugere. Informações pessoais expostas em um incidente podem ressurgir em vazamentos posteriores, mesmo que a empresa afetada tenha relatado a situação como resolvida.

Principais conclusões

  • Quase seis em cada dez organizações pesquisadas no Reino Unido pagaram um resgate após um ataque, de acordo com os dados da Proofpoint.
  • Cerca de 22% das que pagaram foram extorquidas novamente, muitas vezes usando os mesmos dados roubados.
  • Uma pequena porcentagem das vítimas que pagaram nunca recuperou o acesso aos seus arquivos.
  • Agências de aplicação da lei, incluindo o FBI e a Europol, continuam a recomendar que não se pague exigências de resgate de ransomware.
  • As empresas devem investir em planejamento de resposta a incidentes, backups offline e prontidão para notificação de violações, em vez de tratar o pagamento de resgate como uma solução rápida.

O ransomware continua sendo uma ameaça persistente, mas esta pesquisa acrescenta peso a uma mensagem que os profissionais de segurança vêm defendendo há anos: pagar não compra tranquilidade. Tanto organizações quanto indivíduos se beneficiam mais com prevenção, preparação e ceticismo em relação a qualquer promessa feita por agentes criminosos que mantêm dados roubados como reféns.