O alvo do ransomware segue as probabilidades de pagamento, não a fama

O alvo do ransomware segue as probabilidades de pagamento, não a proeminência

Durante anos, a imagem popular de uma vítima de ransomware tem sido um nome conhecido: um sistema hospitalar, uma grande companhia aérea, um fabricante global. Mas uma análise recente faz um ponto mais simples e mais útil: o alvo do ransomware segue as probabilidades de pagamento, não a proeminência. Os atacantes, e especificamente os afiliados que realizam a maioria das intrusões de ransomware, não estão atrás de manchetes. Estão atrás de um pagamento, e isso muda quem acaba na mira deles.

A economia por trás disso é direta. A maioria dos ransomwares modernos opera em um modelo de ransomware-as-a-service, no qual um grupo central constrói o malware e a infraestrutura, enquanto afiliados independentes cuidam das invasões propriamente ditas. Esses afiliados ganham uma comissão somente quando a vítima paga. Esse único fato reorganiza todo o processo de seleção de alvos. Em vez de perguntar "quem causaria o maior impacto", os afiliados perguntam "quem tem mais probabilidade de pagar, e com que rapidez".

Por que a probabilidade de pagamento supera o reconhecimento da marca

Quando o pagamento é a única fonte de renda, a proeminência se torna irrelevante, a menos que esteja correlacionada com a disposição ou a capacidade de pagar. Uma marca bem conhecida com backups robustos, um plano de resposta a incidentes bem estruturado e um compromisso público de nunca negociar com atacantes é, na verdade, um alvo ruim, mesmo que invadi-la gerasse mais atenção da mídia. Enquanto isso, uma empresa de médio porte com defesas mais fracas, cobertura de seguro cibernético e um modelo de negócios que não tolera tempo de inatividade se torna muito mais atraente.

Sinais que aumentam a probabilidade percebida de pagamento de uma vítima incluem evidências de fundos disponíveis, um processo interno claro para autorizar grandes pagamentos rapidamente, dependência de operações contínuas e um histórico (público ou inferido) de pagamentos de resgate anteriores. Organizações que se recusaram publicamente a pagar enviam o sinal oposto. A Stadler Rail, por exemplo, recusou uma exigência de resgate de US$ 12,3 milhões do grupo de extorsão Everest depois que atacantes roubaram dados técnicos por meio de um fornecedor, uma decisão que reduz o incentivo para esse mesmo grupo priorizar alvos semelhantes no futuro. O governo estadual de Berlim adotou uma postura semelhante, confirmando que não pagaria aos hackers apesar de uma tentativa ativa de extorsão após uma intrusão de rede. Toda recusa pública corrói o cálculo de probabilidade de pagamento que orienta a tomada de decisão dos afiliados.

O ângulo da privacidade: o roubo de dados não espera por uma decisão

Essa lógica de seleção de alvos tem uma consequência direta para a privacidade que muitas vezes se perde nos debates sobre pagamento de resgate. Muito antes de uma vítima decidir se paga, os atacantes normalmente já exfiltraram dados. As operações modernas de ransomware dependem cada vez mais da dupla extorsão, criptografando sistemas e também roubando arquivos sensíveis para usar como alavanca adicional. Isso significa que informações pessoais, registros financeiros e comunicações internas podem ser expostas ou vendidas independentemente do resultado do resgate.

O ataque do grupo ShinyHunters à empresa colombiana de serviços financeiros Addi.com ilustra esse risco claramente. O grupo reivindicou a responsabilidade por roubar 16 milhões de registros financeiros, uma escala de exposição que não tem nada a ver com o fato de a Addi.com ser um alvo famoso ou politicamente significativo. Reflete a mesma lógica subjacente: uma empresa de serviços financeiros que detém grandes volumes de dados sensíveis representa uma oportunidade de alto valor para extorsão, independentemente do reconhecimento da marca. Para os usuários comuns, isso significa que seus dados podem acabar em risco simplesmente porque a organização que os detém parecia uma boa aposta para um afiliado, não porque era um alvo que alguém esperaria.

O que isso significa para você

Se a seleção de alvos é movida pelas probabilidades de pagamento e não pela proeminência, a conclusão prática é que nenhuma organização, independentemente de tamanho ou visibilidade, pode presumir que é "pequena demais para importar" para os operadores de ransomware. Empresas menores, prestadores de serviços de saúde, plataformas financeiras e agências governamentais locais são frequentemente atraentes justamente porque podem ter defesas menos maduras e maior pressão operacional para restaurar o acesso rapidamente.

Para os indivíduos, isso reforça uma realidade familiar, mas importante: a segurança dos seus dados pessoais depende fortemente da postura de segurança de cada organização que os detém, não apenas das famosas. Instituições financeiras, prestadores de serviços menores e fornecedores em uma cadeia de suprimentos são todos pontos de entrada plausíveis, como demonstra o incidente da Stadler Rail.

Conclusões práticas

As organizações devem tratar a integridade dos backups, o planejamento de resposta a incidentes e a comunicação pública sobre a política de resgate como ferramentas que reduzem diretamente sua atratividade para afiliados em busca de pagamentos fáceis. Os indivíduos devem presumir que qualquer serviço que detenha dados pessoais ou financeiros sensíveis pode ser alvo, e devem usar senhas fortes e exclusivas, ativar a autenticação multifator sempre que possível e monitorar contas em busca de atividades incomuns após qualquer notificação de violação. Como o alvo do ransomware segue as probabilidades de pagamento e não a proeminência, manter a vigilância com prestadores menores e menos conhecidos é tão importante quanto acompanhar as notícias sobre ataques a grandes marcas. A consciência de como essas decisões são tomadas é uma das maneiras mais simples de se manter à frente do risco.