O que os Novos Dados sobre Extorsão Repetida por Ransomware Mostram

Novos números divulgados por Connor Jones no DataBreaches.Net confirmam o que pesquisadores de segurança suspeitam há anos: pagar a uma gangue de ransomware não encerra o tormento, muitas vezes apenas marca o início de um segundo round. De acordo com dados de pesquisa citados no relatório, 58% das organizações afetadas no Reino Unido optaram por pagar um resgate no ano passado. Daquelas que pagaram, 22% foram atacadas novamente pelo mesmo grupo criminoso ou por outro diferente, exigindo um segundo pagamento.

Isso significa que aproximadamente uma em cada cinco organizações que tomaram a difícil decisão de pagar não obtiveram nada de duradouro pelo dinheiro. O ciclo de extorsão simplesmente recomeçou, às vezes em questão de semanas. Esse padrão de pagamentos repetidos de extorsão por ransomware está se tornando uma característica marcante do cenário atual de ameaças e está forçando equipes de segurança e executivos a repensar todo o cálculo sobre se pagar é realmente uma resposta racional.

Por que Pagar uma Vez Convida a um Segundo Ataque

A lógica por trás da extorsão repetida é simples do ponto de vista do criminoso. Uma vez que uma organização demonstra que está disposta a pagar, ela se torna um alvo marcado. Os operadores de ransomware mantêm registros de quais vítimas cederam, com que rapidez pagaram e quanto estavam dispostas a entregar. Essas informações geralmente circulam entre redes de afiliados e, às vezes, são vendidas ou compartilhadas entre grupos criminosos que operam no modelo de ransomware como serviço.

Uma vítima que paga US$ 500 mil uma vez sinalizou efetivamente que tem tanto as reservas financeiras quanto a tolerância ao risco para pagar novamente. Os atacantes sabem que uma segunda intrusão, mesmo que menos sofisticada, tem uma boa chance de sucesso se as vulnerabilidades subjacentes que permitiram a primeira violação nunca foram totalmente corrigidas. Em muitos casos de extorsão dupla e tripla, os dados roubados nem sequer são excluídos após o pagamento, apesar das promessas em contrário, deixando a porta aberta para uma nova exigência baseada na ameaça de publicar essas mesmas informações roubadas.

É exatamente por isso que agências de aplicação da lei, incluindo o FBI, aconselharam consistentemente contra o pagamento de resgates. O pagamento não garante a recuperação dos dados, não garante a exclusão dos arquivos roubados e, como esses novos dados mostram, não garante que os atacantes ficarão longe.

Defesas Proativas que Reduzem o Risco de Ransomware

Se pagar não resolve o problema de forma confiável, o caminho mais sustentável é reduzir as chances de uma violação bem-sucedida em primeiro lugar. Várias camadas defensivas aparecem consistentemente nos achados de resposta a incidentes como a diferença entre um incidente contido e um catastrófico.

A segmentação de rede limita o quanto um atacante pode se mover depois de obter uma posição inicial. Em vez de uma rede plana onde uma única credencial comprometida abre acesso a tudo, ambientes segmentados forçam os atacantes a lutar por cada centímetro adicional, dando aos defensores tempo para detectar e responder.

Os controles de acesso de confiança zero presumem que nenhum usuário ou dispositivo é automaticamente confiável, mesmo dentro do perímetro corporativo. Cada solicitação de acesso é verificada, o que torna muito mais difícil que apenas credenciais roubadas desbloqueiem sistemas críticos.

Backups confiáveis, testados e offline continuam sendo uma das defesas mais eficazes disponíveis contra ransomware. Os arquivos criptografados deixam de ser uma alavanca quando uma organização pode restaurar as operações a partir de backups limpos sem negociar com ninguém. A palavra-chave é testados: backups que não foram verificados por meio de exercícios reais de restauração muitas vezes falham exatamente quando são mais necessários.

Autenticação multifator, aplicação oportuna de patches em sistemas voltados para a internet e monitoramento contínuo de movimentação lateral incomum completam a linha de base que separa as organizações que se recuperam rapidamente daquelas que acabam enfrentando uma segunda exigência de extorsão.

O que as Organizações Devem Fazer em Vez de Pagar

Quando um incidente de ransomware ocorre, o instinto de pagar rapidamente e fazer o problema desaparecer é compreensível, especialmente sob pressão de clientes, reguladores ou de um conselho que exige uma resolução rápida. Mas os dados sobre extorsão repetida deixam claro que o pagamento não é uma estratégia de saída confiável. As organizações se beneficiam mais ao envolver as autoridades policiais desde o início, contratar profissionais de resposta a incidentes que possam avaliar o escopo real da exposição dos dados e ser transparentes com as partes interessadas afetadas, em vez de presumir que um pagamento silencioso fará o problema desaparecer.

O que Isso Significa para Você

Se você gerencia a área de TI de uma pequena empresa ou supervisiona a política de segurança em uma organização maior, esses dados são um sinal claro para realocar prioridades. O dinheiro reservado para fundos de contingência de resgate é muito mais bem gasto em projetos de segmentação, implantações de confiança zero e infraestrutura de backup que é testada regularmente. As apólices de seguro cibernético e os contratos de resposta a incidentes também devem ser revisados para garantir que enfatizem a prevenção e a capacidade de recuperação, em vez de simplesmente cobrir um pagamento.

Para indivíduos, a lição é semelhante em menor escala: senhas fortes e exclusivas, autenticação multifator e backups regulares de dispositivos pessoais e familiares reduzem a chance de que uma única infecção por ransomware se torne um pesadelo repetido.

Conclusões Acionáveis

  • Trate o pagamento de resgate como último recurso, não como um plano de primeira resposta; os dados mostram que ele frequentemente não consegue acabar com a ameaça.
  • Invista em segmentação de rede para que uma única conta comprometida não possa expor todo o ambiente.
  • Adote princípios de confiança zero para acesso interno e remoto, verificando cada solicitação em vez de confiar apenas na localização da rede.
  • Mantenha backups offline e testados regularmente para que a recuperação não dependa de negociações com criminosos.
  • Elabore um plano de resposta a incidentes agora, antes que um ataque aconteça, para que as decisões não sejam tomadas sob pânico e pressão.

O aumento nos pagamentos repetidos de extorsão por ransomware é um forte argumento para transferir recursos da negociação reativa para a defesa proativa. As organizações que fizerem essa mudança agora estarão muito mais bem posicionadas do que aquelas que ainda esperam que um único pagamento faça o problema desaparecer.