Negocierea în cazurile de ransomware evoca odinioară imagini cu un singur operator în spatele tastaturii, așteptând ca victima să facă primul contact. Potrivit noilor descoperiri ale firmei de intelligence privind amenințările Intel 471, această imagine este depășită. Echipele de ransomware tratează acum negocierea ca pe un proces de afaceri cu personal dedicat, complet cu cercetări privind veniturile și acoperirea de asigurare a victimei, înainte ca o sumă de răscumpărare să fie chiar menționată. Pentru organizațiile de dimensiuni medii, implicațiile depășesc cu mult mărimea unei scrisori cu cereri.

Negocierea ransomware a devenit o funcție structurată

Cercetarea Intel 471 descrie o schimbare în care cererile de răscumpărare nu mai sunt numere arbitrare extrase dintr-o listă de ținte „mari companii". În schimb, atacatorii par să efectueze o diligență deliberată, colectând informații despre situația financiară a victimei și despre polița de asigurare cibernetică înainte de a stabili un preț. Aceasta reflectă o tendință mai largă documentată în ecosistemul ransomware, în care operațiunile seamănă din ce în ce mai mult cu întreprinderi comerciale cu roluri definite, de la brokeri de acces la negociatori. Reportajele despre ransomware ca model de afaceri au urmărit deja modul în care grupurile ransomware-ca-serviciu au profesionalizat aproape fiecare etapă a unui atac, iar negocierea pare acum să fie cea mai recentă funcție care primește acest tratament.

Efectul practic este că cererile de răscumpărare pot fi calibrate în funcție de ceea ce o organizație specifică poate plăti în mod plauzibil, nu de o rată fixă din industrie. O companie cu o plată mare de asigurare disponibilă se poate confrunta cu o sumă inițială mai mare decât una fără acoperire. Această calibrare necesită cercetare, iar cercetarea necesită date, ceea ce aduce preocupările legate de confidențialitate în prim-plan.

De ce contează acest lucru pentru confidențialitate, nu doar pentru finanțe

La suprafață, aceasta pare o poveste financiară și operațională: echipele de ransomware maximizează pârghia înțelegând capacitatea victimei de a plăti. Dar mecanismele subiacente au implicații reale pentru confidențialitate. Pentru a evalua veniturile și statutul de asigurare, atacatorii trebuie să colecteze informații despre o companie înainte sau în timpul intrusionii, adesea chiar din sistemele și fișierele pe care le compromit. Aceasta înseamnă că înregistrările financiare, corespondența cu asiguratorii și comunicările interne devin parte din recunoașterea pe care atacatorii o folosesc împotriva organizației, nu doar date care ar putea fi scurse ulterior.

Acest lucru se intersectează și cu tactici care remodelează deja peisajul extorcării. Au fost documentate grupuri care acordă victimelor ferestre din ce în ce mai scurte pentru a răspunde, o tactică de presiune examinată în reportajele despre motivul pentru care găștile de ransomware acordă acum victimelor doar șapte zile pentru a lua o decizie. Când o echipă de negociere știe deja ce își poate permite victima și cât de repede trebuie să rezolve incidentul, acea cronologie comprimată devine un instrument pentru extragerea plății maxime, nu un produs secundar al nerăbdării criminale. Separat, acoperirea privind costurile ascunse ale extorcării bazate pe Inteligență Artificială a arătat că suma răscumpărării în sine este adesea doar un singur element din daunele totale pe care victima le suportă, alături de expunerea legală, notificările de reglementare și prejudiciul de reputație.

Ce înseamnă acest lucru pentru tine

Pentru organizațiile de dimensiuni medii în special, modelul negocierii bazate pe cercetare schimbă calculele legate de pregătirea pentru răspunsul la incidente. Multe companii de dimensiuni medii presupun că grupurile de ransomware le vizează oportunist și tratează fiecare victimă la fel. Descoperirile Intel 471 sugerează altceva: dacă atacatorii profilează veniturile și statutul de asigurare înainte de a numi un preț, companiile de dimensiuni medii cu acoperire de asigurare vizibilă sau dezvăluiri financiare publice pot fi evaluate la fel de atent ca întreprinderile mai mari, chiar dacă cererea finală este redusă ca scară.

Acest lucru are și ramificații politice. Pe măsură ce negocierea devine mai calculată din partea atacatorului, unele guverne au început să cântărească dacă victimelor ar trebui să li se permită să negocieze sau să plătească deloc. Discuțiile în curs acoperite în reportajele despre guvernele care analizează interdicții privind plățile de ransomware reflectă o recunoaștere tot mai mare că procesul de negociere în sine a devenit suficient de sofisticat pentru a justifica atenție din partea autorităților de reglementare, nu doar apărare tehnică.

Concluzii acționabile

Organizațiile, în special firmele de dimensiuni medii care ar putea crede că rămân sub radar, ar trebui să trateze această schimbare ca pe un motiv să reia planificarea răspunsului la incidente acum, înainte ca un incident să aibă loc. Câțiva pași concreți pot ajuta:

  • Revizuiește cine are acces intern la înregistrările financiare și documentația de asigurare și limitează expunerea acestor informații pe unități partajate sau sisteme ușor accesibile.
  • Fii pregătit pentru negocierea ransomware.
  • Confirmă că detaliile asigurării cibernetice sunt stocate în siguranță și nu sunt ușor de descoperit de un intrus în stadiile incipiente ale unei breșe.
  • Efectuează exerciții de tip tabletop care presupun că atacatorii îți cunosc deja veniturile și limitele de acoperire, nu doar că ți-au criptat fișierele.
  • Rămâi informat cu privire la practicile în evoluție ale negocierii ransomware, deoarece tacticile continuă să se schimbe pe măsură ce atacatorii își profesionalizează operațiunile.

Negocierea ransomware nu mai este o conversație improvizată între o victimă și un atacator anonim. Este un proces de afaceri cu personal dedicat și bazat pe cercetare, iar organizațiile care înțeleg această schimbare sunt mai bine poziționate să răspundă calm și eficient atunci când se găsesc de cealaltă parte a mesei.