Quase Metade Ainda Paga, Mas Primeiro Regateia

Um novo relatório que está a circular traça um cenário familiar, mas desconfortável: quase metade das organizações afetadas por encriptação de ransomware acaba por pagar o resgate. A novidade é que cerca de metade dessas vítimas não entrega simplesmente o valor total exigido. Em vez disso, negoceiam, conseguindo frequentemente que os atacantes aceitem um valor inferior ao preço originalmente pedido antes de desbloquearem os ficheiros encriptados.

À primeira vista, isto pode parecer uma pequena vitória para as vítimas. Conseguir que um grupo criminoso baixe o preço parece uma vitória menor numa situação já de si má. Mas a grande história aqui não é sobre quem é melhor a regatear. É sobre o que significa o facto de o pagamento de resgates e a negociação com criminosos se ter tornado uma parte normalizada da forma como as organizações respondem a ciberataques.

Por Que Razão as Empresas Pagam em Vez de Recusar

O ransomware funciona encriptando os ficheiros e sistemas de uma organização, tornando-os inutilizáveis até que uma chave de desencriptação seja fornecida, normalmente em troca de pagamento. Para empresas sem backups sólidos, ou aquelas sob pressão para restaurar rapidamente as operações, pagar pode parecer o caminho mais rápido para voltar à normalidade. Este cálculo torna-se ainda mais fácil de justificar quando o atacante está disposto a baixar o preço, algo que o relatório sugere acontecer com frequência.

Esta dinâmica de negociação não é nova na economia do ransomware. Muitas operações de ransomware funcionam agora como negócios, completos com chats de apoio, portais de pagamento e, sim, margem para negociação. Essa profissionalização é parte da razão pela qual pagar se tornou um resultado tão comum, em vez de ser um último recurso.

Mas pagar não garante uma resolução limpa. Mesmo quando um resgate é pago e uma chave de desencriptação é entregue, não há garantia de que os atacantes já não tenham copiado dados sensíveis antes de os encriptar. Este é um detalhe crítico frequentemente perdido nas conversas sobre negociações de resgate: o pagamento é geralmente para restaurar o acesso aos ficheiros, não para desfazer uma violação de dados que já pode ter ocorrido.

O Risco de Privacidade Escondido Por Trás de Cada Pagamento de Resgate

É aqui que a história se liga a um problema de privacidade muito maior. Os ataques de ransomware envolvem cada vez mais roubo de dados juntamente com a encriptação, o que significa que os atacantes extraem cópias de ficheiros sensíveis antes de bloquearem os originais. Reportagens relacionadas descobriram que 49% das vítimas de ransomware perdem dados antes de detetar o ataque, o que significa que, quando uma exigência de resgate chega, o dano aos dados pessoais e organizacionais já pode estar feito.

Esse detalhe é extremamente importante para qualquer pessoa cuja informação pessoal esteja nos sistemas de uma organização, seja um empregador, um prestador de cuidados de saúde, uma escola ou um retalhista online. Uma negociação bem-sucedida sobre o valor do resgate não desfaz um roubo de dados que já aconteceu. Também não impede os atacantes de vender ou divulgar esses dados mais tarde, independentemente de o resgate ter sido pago na íntegra, negociado para um valor mais baixo ou totalmente recusado.

Pagar um resgate, mesmo que reduzido, também corre o risco de reforçar o próprio modelo de negócio. Cada pagamento bem-sucedido, negociado ou não, sinaliza aos atacantes que o ransomware continua a ser rentável, o que mantém intacta a estrutura de incentivos para futuros ataques contra outras organizações.

O Que Isto Significa Para Si

A maioria das pessoas que lê estatísticas sobre pagamentos de ransomware não são as que decidem pagar ou não. Essa decisão cabe geralmente à liderança de TI, executivos ou equipas de resposta a incidentes. Mas as consequências propagam-se para funcionários, clientes e qualquer pessoa cujos dados residam nos sistemas afetados.

Se receber uma notificação de violação de uma empresa que sofreu um ataque de ransomware, leve-a a sério, independentemente de a notícia mencionar que um resgate foi pago. O roubo de dados pode ocorrer antes mesmo de a encriptação começar, por isso um resgate pago e um sistema restaurado não significam necessariamente que a sua informação está segura. Esteja atento a sinais de roubo de identidade, monitorize as suas contas e considere a monitorização de crédito se a organização a oferecer após um incidente.

Para empresas e equipas de TI, a tendência de negociação é um lembrete de que o planeamento de resposta precisa de ter em conta a exposição de dados, e não apenas o tempo de inatividade do sistema. Os backups ajudam a evitar o pagamento por uma chave de desencriptação, mas não impedem que dados roubados sejam divulgados ou vendidos se os atacantes já os tiverem extraído antecipadamente.

Pontos Acionáveis

  • Não presuma que um resgate pago significa que os seus dados nunca foram copiados ou expostos; pergunte diretamente às organizações afetadas o que foi confirmado como roubado.
  • Monitorize contas e atividade de crédito após qualquer notificação de violação, mesmo que a empresa diga que o resgate foi resolvido.
  • Se gere um negócio, dê prioridade à deteção precoce e à segmentação de rede para que os atacantes tenham menos tempo para extrair dados antes de a encriptação ocorrer.
  • Compreenda que a negociação de resgate reduz o custo, mas não o risco; a exposição de dados roubados continua a ser uma ameaça separada e duradoura.

As tendências de pagamento de ransomware provavelmente continuarão a ser notícia, à medida que mais organizações ponderam o custo de pagar contra o custo de reconstruir. Mas para os utilizadores comuns, a verdadeira conclusão não é sobre táticas de negociação. É sobre permanecer alerta ao que acontece aos seus dados muito depois de as notícias sobre um pagamento de resgate desaparecerem.