Atunci când un mesaj de răscumpărare apare pe ecranele unei companii, instinctul este adesea de a-l trata ca pe o urgență IT: izolează rețeaua, cheamă echipa de securitate, evaluează daunele asupra serverelor. Însă un număr tot mai mare de îndrumări, detaliate recent de Cyber Daily în analiza sa privind luarea deciziilor în cazul extorcării cibernetice, arată clar că plata sau refuzul unei răscumpărări este mult mai mult decât o alegere tehnică. Este o decizie juridică, financiară și, mai presus de toate, o decizie legată de confidențialitate, care atinge fiecare client, angajat și partener ale cărui date se află în sistemele compromise.

Câmpul minat juridic din spatele deciziei de răscumpărare

Unul dintre cele mai trecute cu vederea aspecte ale extorcării cibernetice este că plata infractorilor nu este întotdeauna simplă din punct de vedere legal. În funcție de cine se află în spatele atacului, o plată de răscumpărare poate expune organizația plătitoare la riscul de sancțiuni, în special atunci când actorul amenințării sau infrastructura acestuia este legată de o entitate sau jurisdicție sancționată. Organizațiile care se grăbesc să plătească fără o analiză juridică se pot trezi confruntate cu investigații din partea autorităților de reglementare, pe lângă încălcarea în sine. După cum am subliniat în analiza noastră anterioară despre modul în care plățile de ransomware riscă sancțiuni OFAC, decizia de a plăti nu se referă doar la faptul dacă o companie își poate permite suma cerută. Este vorba despre dacă plata în sine este legală și dacă organizația și-a făcut diligența necesară pentru a afla acest lucru.

Tocmai de aceea, răspunsul la extorcarea cibernetică nu poate sta doar în sarcina unui departament IT. Consilierii juridici, responsabilii de conformitate și, adesea, forțele de ordine trebuie să facă parte din conversație încă din cel mai timpuriu moment posibil, nu să fie aduși după ce o plată a fost deja transferată.

De ce aceasta este o problemă de confidențialitate, nu doar o problemă IT

Ransomware-ul obișnuia să fie în principal despre blocarea fișierelor. Acest lucru s-a schimbat. Grupurile moderne de extorcare fură din ce în ce mai mult datele înainte de a cripta ceva, apoi folosesc amenințarea cu expunerea ca pârghie. Această schimbare transformă fiecare incident de ransomware într-un incident de confidențialitate a datelor, indiferent dacă sistemele sunt în cele din urmă restaurate.

Am văzut această evoluție accelerându-se în timp real. Unele grupuri au trecut dincolo de a amenința direct organizația victimă și acum amenință să contacteze chiar clienții unei companii, aplicând presiune prin vizarea persoanelor ale căror informații personale sunt de fapt în joc. Această tactică schimbă complet calculul: chiar și o plată integrală a răscumpărării nu garantează că datele furate ale clienților nu vor fi scurse, vândute sau folosite pentru extorcări ulterioare.

Organizațiile care cântăresc o cerere de răscumpărare trebuie să se întrebe nu doar „ne putem recupera sistemele”, ci „ce se întâmplă cu datele personale ale tuturor celor din sistemele noastre, indiferent de ce decidem”. O plată de răscumpărare ar putea cumpăra o cheie de decriptare. Nu șterge faptul că datele sensibile au fost expuse infractorilor în primul rând.

Plata nu garantează siguranța

Chiar și atunci când organizațiile plătesc, nu există dovezi sigure că acest lucru pune capăt problemei. Cercetările realizate de Proofpoint au constatat că o proporție semnificativă dintre companiile care plătesc o răscumpărare se confruntă cu tentative repetate de extorcare, uneori din partea acelorași atacatori care revin pentru o a doua plată. Aceste date subminează una dintre cele mai comune justificări pentru plată: convingerea că face problema să dispară.

Unele organizații au ales o cale complet diferită. Stadler Rail, producătorul elvețian de trenuri, a refuzat public o cerere de răscumpărare de mai multe milioane de dolari după ce atacatorii au furat date printr-un furnizor terț, pariind că refuzul era mai puțin riscant decât legitimarea economiei extorcării. Între timp, peisajul ransomware continuă să se schimbe; o recentă sinteză a industriei care urmărește ce grupuri domină mediul actual al amenințărilor arată că plata către o bandă nu reduce riscul general din partea zecilor de altele încă active.

Ce înseamnă acest lucru pentru dumneavoastră

Fie că gestionați o mică afacere sau supervizați securitatea pentru o întreprindere mare, decizia de a plăti sau nu nu ar trebui niciodată luată izolat de către cei care administrează serverele. Este nevoie de o analiză juridică pentru sancțiuni și expunerea la reglementări, o evaluare a confidențialității cu privire la exact ce date au fost accesate și o înțelegere realistă că plata nu oferă nicio garanție împotriva extorcărilor sau scurgerilor viitoare. Pentru consumatorii obișnuiți, concluzia este diferită, dar conexă: siguranța datelor dumneavoastră personale după o încălcare depinde în mare măsură de deciziile luate de companii cu care este posibil să nu interacționați niciodată direct, motiv pentru care înțelegerea modului în care organizațiile gestionează extorcarea cibernetică contează, chiar dacă nu dumneavoastră sunteți cel care primește mesajul de răscumpărare.

Concluzii practice

Organizațiile ar trebui să elaboreze un plan de răspuns la incidente înainte ca un atac să aibă loc, unul care să includă în mod explicit consilieri juridici și evaluarea confidențialității, alături de remedierea tehnică. Nu tratați niciodată o decizie de răscumpărare ca fiind pur financiară; riscurile legate de sancțiuni și conformitate sunt reale și pot agrava încălcarea inițială. Presupuneți că orice date exfiltrate pot fi deja compromise, indiferent de plată, și planificați notificările către clienți și angajați în consecință. În cele din urmă, amintiți-vă că cea mai sigură strategie pe termen lung împotriva extorcării cibernetice nu este o plată rapidă a răscumpărării, ci apărări mai puternice care împiedică tentativa de extorcare să reușească în primul rând.