Estudo: 37% das Vítimas de Ransomware Sofrem um Segundo Pedido de Resgate

Pagar Hackers de Ransomware Não Garante Paz

Organizações que pagam um resgate de ransomware esperando fazer o problema desaparecer talvez queiram reconsiderar essa estratégia. Uma nova pesquisa coberta pelo TechRadar descobriu que, embora 56% das vítimas que pagaram um resgate tenham recuperado o acesso aos seus sistemas, mais de um terço, 37%, foram alvo de uma segunda exigência de extorsão pouco depois de entregarem o primeiro pagamento. Outros 2% pagaram e nunca chegaram a recuperar os seus dados.

As descobertas desafiam a suposição comum de que pagar um resgate de ransomware é uma transação simples: paga-se, recebe-se uma chave de desencriptação, segue-se em frente. Pelo contrário, os dados sugerem que, para uma parte significativa das vítimas, o primeiro pagamento é tratado pelos atacantes como uma jogada de abertura e não como uma resolução. Isto está em linha com o que outras pesquisas recentes mostraram. Um relatório separado sobre ransomware revelou que quase metade das organizações paga e depois negocia, reforçando a ideia de que os pagamentos de ransomware raramente são um custo único e definitivo.

Porque É Que os Hackers Voltam Para Exigir Mais

A lógica por trás de uma tentativa de extorsão repetida é simples do ponto de vista do atacante. Se uma organização vítima já demonstrou vontade e capacidade para pagar, essa organização torna-se um alvo mais atrativo para exigências posteriores. Os grupos de ransomware sabem que as empresas sob pressão para restaurar operações, proteger dados de clientes ou evitar penalizações regulatórias estão muitas vezes dispostas a pagar novamente em vez de arriscarem um tempo de inatividade prolongado ou a divulgação pública de uma violação.

A pesquisa também destaca outra faceta do processo de negociação do resgate: a flexibilidade de preços. Os especialistas citados no relatório observam que os operadores de ransomware baixam frequentemente a sua exigência inicial, com alguns descontos a atingirem até 96% do preço originalmente pedido. Isto não é generosidade. Reflete uma estratégia de negociação em que o primeiro número é intencionalmente inflacionado, e o verdadeiro objetivo é simplesmente extrair algum pagamento, qualquer pagamento, da vítima. Compreender esta dinâmica é importante porque mostra que as exigências de resgate não são preços fixos estabelecidos por um mercado racional. São propostas de abertura numa negociação concebida para maximizar aquilo que uma organização já sob pressão está disposta a pagar.

Em conjunto, as exigências iniciais inflacionadas, os grandes descontos e o padrão de extorsão repetida pintam o retrato de um ecossistema construído em torno da alavancagem em vez de uma troca justa. Assim que uma vítima paga, os atacantes têm a prova de que a pressão funciona, e essa informação pode ser usada novamente, quer contra a mesma organização, quer partilhada em círculos criminosos como evidência de que um alvo merece ser perseguido.

O Que Isto Significa Para Si

Tanto para indivíduos, pequenas empresas ou grandes organizações, a conclusão a retirar não é que os resgates nunca devam ser pagos em circunstância alguma (essa é uma decisão que cada organização deve ponderar com base na sua própria tolerância ao risco e obrigações legais). Pelo contrário, a lição é que o pagamento nunca deve ser tratado como uma solução garantida. Qualquer pessoa que considere pagar um resgate precisa de se preparar para a possibilidade de que essa não será a última exigência e de que a recuperação dos dados não é assegurada mesmo após a transferência do dinheiro.

Isto é especialmente relevante para organizações mais pequenas e indivíduos que podem não ter equipas dedicadas de resposta a incidentes. O mesmo relatório sobre ransomware que mostra vítimas a pagar e depois a negociar novamente sublinha que mesmo empresas com bons recursos têm dificuldade em fechar o ciclo após um ataque. Sem o apoio profissional de resposta a incidentes, as probabilidades de um desfecho favorável após o pagamento não são necessariamente melhores para alvos mais pequenos.

A implicação prática é que a prevenção e a preparação importam muito mais do que a habilidade de negociação após o facto. Cópias de segurança offline fiáveis, procedimentos de recuperação testados e uma segurança forte nos pontos terminais reduzem a vantagem que os atacantes têm à partida. Se uma organização nunca precisar de considerar pagar porque pode restaurar a partir de cópias de segurança, todo o ciclo de extorsão, incluindo o risco de uma segunda exigência, torna-se irrelevante.

Medidas Acionáveis

Alguns passos concretos podem reduzir a exposição ao ransomware e ao ciclo de extorsão que se lhe segue:

• Manter cópias de segurança regulares e testadas, armazenadas offline ou num ambiente separado e isolado, para que a recuperação não dependa da cooperação do atacante.
• Tratar qualquer pagamento de resgate como uma decisão empresarial com um risco real de exigências posteriores, e não como uma resolução garantida.
• Envolver as autoridades policiais e profissionais experientes em resposta a incidentes antes de tomar decisões de pagamento, uma vez que estes têm frequentemente conhecimento do historial de um grupo atacante.
• Investir em higiene básica de segurança, incluindo aplicação de correções, autenticação multifator e segmentação de rede, para reduzir a probabilidade de ser vítima em primeiro lugar.

Em última análise, esta investigação é um lembrete de que um pagamento de ransomware não compra um encerramento, compra uma oportunidade. As organizações que planeiam a resiliência em vez de dependerem da negociação estão numa posição muito mais forte, quer venham ou não a enfrentar uma exigência de resgate.