Companiile continuă să plătească răscumpărări, arată noile date

În ciuda anilor de îndrumări care îndeamnă organizațiile să refuze cererile de răscumpărare, multe companii încă emit cecuri către infractorii cibernetici. Un nou studiu realizat de compania de securitate Proofpoint a constatat că aproape un sfert (22%) dintre companiile care au plătit o răscumpărare au fost lovite din nou cu o a doua cerere de extorcare, o cifră care ridică întrebări serioase cu privire la faptul dacă plata rezolvă cu adevărat ceva.

Cercetarea apare într-un moment în care autoritățile presează mai mult ca oricând organizațiile să reziste în fața atacatorilor. Centrul Național de Securitate Cibernetică (NCSC) din Marea Britanie a recomandat de mult timp împotriva plății răscumpărărilor, avertizând că aceasta încurajează noi atacuri și nu oferă nicio garanție că datele furate sau criptate vor fi returnate efectiv. Cu toate acestea, concluziile Proofpoint sugerează că sfaturile oficiale și deciziile reale de afaceri sunt adesea două lucruri foarte diferite.

De ce plătesc companiile oricum

Atacurile ransomware pun companiile într-o poziție deloc de invidiat. Atunci când sistemele sunt blocate sau datele sensibile sunt amenințate cu expunerea publică, directorii sunt adesea forțați să cântărească daunele reputaționale, expunerea la reglementări și timpul de nefuncționare operațională față de costul unei plăți de răscumpărare. Pentru multe organizații, plata poate părea cea mai rapidă cale de revenire la normal, chiar și atunci când experții în securitate avertizează că rareori lucrurile se rezolvă atât de simplu.

Acest calcul devine și mai complicat având în vedere cât de mult s-a profesionalizat însăși afacerea ransomware. Negocierea a devenit un fel de industrie artizanală, cu firme angajate special pentru a comunica cu atacatorii și a încerca să reducă cererile. Dar această industrie nu a fost lipsită de controverse. Într-un caz notabil, un negociator profesionist a fost condamnat la 70 de luni de închisoare pentru rolul său într-o înțelegere cu ransomware-ul BlackCat, o reamintire dură că persoanele care intermediază aceste plăți nu acționează întotdeauna în interesul companiei. Un caz conex care implică același negociator, identificat ca Martino în dosarele instanței, subliniază și mai mult cât de tulbure și riscant din punct de vedere legal poate deveni ecosistemul plății răscumpărărilor odată ce un intermediar este implicat.

Costul de confidențialitate al plății

Statistica de 22% privind extorcarea repetată este semnificativă, deoarece contrazice justificarea principală pe care majoritatea companiilor o invocă pentru plată: că aceasta face problema să dispară. Dacă aproape un sfert dintre victime sunt vizate din nou după ce au plătit, plata nu cumpără siguranță. Ea poate pur și simplu să confirme atacatorilor că organizația este dispusă și capabilă să plătească, făcând-o o țintă mai atractivă pentru atacuri viitoare.

Există, de asemenea, o dimensiune de confidențialitate care este adesea trecută cu vederea în aceste discuții. Atacurile ransomware implică frecvent furtul de date sensibile, înregistrări ale clienților, informații despre angajați, detalii financiare, cu mult înainte de a avea loc orice criptare. Plata unei răscumpărări nu anulează acea expunere. Atacatorii ar fi putut deja copia datele, iar o plată nu oferă nicio garanție verificabilă că acestea vor fi șterse, mai degrabă decât vândute sau divulgate ulterior. Pentru persoanele ale căror date se află în sistemele unei companii compromise, negocierea răscumpărării care are loc în spatele ușilor închise are puțină legătură cu faptul dacă informațiile lor rămân private.

Ce înseamnă asta pentru tine

Dacă ești consumator, aceste date sunt o reamintire că decizia unei companii de a plăti o răscumpărare nu îți protejează neapărat informațiile personale. Notificările de încălcare a securității și ofertele de monitorizare a creditului după un incident ransomware merită luate în serios, indiferent dacă compania afectată spune că a rezolvat situația cu atacatorii.

Dacă lucrezi în IT, securitate sau conducere executivă, concluziile Proofpoint ar trebui să fie incluse direct în planificarea răspunsului la incidente. Plata nu ar trebui tratată niciodată ca o soluție rapidă. Organizațiile care au plătit o dată par să rămână ținte atractive, ceea ce înseamnă că planurile de recuperare trebuie să includă o întărire mai puternică post-incident, nu doar un transfer bancar și un oftat de ușurare.

Concluzii practice

Câțiva pași practici pot ajuta la reducerea atât a probabilității unui atac, cât și a consecințelor dacă unul are loc:

  • Păstrați copii de rezervă offline, testate, astfel încât cererile de criptare să își piardă puterea de constrângere.
  • Tratați orice incident ransomware ca pe o încălcare a securității datelor în mod implicit, deoarece atacatorii exfiltrează frecvent datele înainte de a le cripta.
  • Consultați forțele de ordine și agenții precum NCSC din timp, în loc să săriți direct la plată sau negociere.
  • Dacă este implicat un negociator, verificați-l cu atenție având în vedere riscurile legale evidențiate de urmăririle penale recente.
  • Comunicați transparent cu clienții sau angajații afectați, indiferent dacă s-a plătit sau nu o răscumpărare.

Ransomware-ul nu dispare, iar tentația de a plăti pentru o rezolvare rapidă va rămâne puternică. Dar aceste noi date adaugă greutate la ceea ce autoritățile de reglementare spun de ani de zile: plata unei răscumpărări este rareori sfârșitul poveștii și ar putea fi doar începutul unei a doua.