Plata hackerilor ransomware nu garantează liniștea

Organizațiile care plătesc o cerere de răscumpărare ransomware în speranța că problema va dispărea ar putea dori să reconsidere această strategie. O nouă cercetare prezentată de TechRadar a constatat că, deși 56% dintre victimele care au plătit o răscumpărare și-au recăpătat accesul la sisteme, mai mult de o treime, 37%, au fost lovite de o a doua cerere de extorcare la scurt timp după ce au predat prima plată. Alte 2% au plătit și nu și-au recuperat deloc datele.

Constatările contestă o presupunere comună conform căreia plata unei cereri ransomware este o tranzacție simplă: plătești, primești o cheie de decriptare, mergi mai departe. În schimb, datele sugerează că, pentru o proporție semnificativă a victimelor, prima plată este tratată de atacatori ca o mișcare de deschidere, nu ca o rezolvare. Acest lucru se aliniază cu ceea ce au arătat alte cercetări recente. Un raport separat despre ransomware a constatat că aproape jumătate dintre organizații plătesc, apoi negociază, întărind ideea că plățile ransomware sunt rareori un cost unic și clar.

De ce se întorc hackerii pentru mai mult

Logica din spatele unei tentative repetate de extorcare este simplă din perspectiva atacatorului. Dacă o organizație victimă a demonstrat deja dorința și capacitatea de a plăti, acea organizație devine o țintă mai atractivă pentru cereri ulterioare. Grupurile ransomware știu că firmele sub presiunea de a restabili operațiunile, de a proteja datele clienților sau de a evita sancțiunile de reglementare sunt adesea dispuse să plătească din nou, în loc să riște perioade lungi de inactivitate sau o dezvăluire publică a breșei.

Cercetarea evidențiază, de asemenea, o altă complicație în procesul de negociere a răscumpărării: flexibilitatea prețului. Experții citați în raport notează că operatorii ransomware își reduc frecvent cererea inițială, unele reduceri ajungând până la 96% din prețul cerut inițial. Aceasta nu este generozitate. Reflectă o strategie de negociere în care primul număr este umflat în mod deliberat, iar scopul real este pur și simplu de a extrage o plată, orice plată, de la victimă. Înțelegerea acestei dinamici contează, deoarece arată că cererile de răscumpărare nu sunt prețuri fixe stabilite de o piață rațională. Sunt oferte de deschidere într-o negociere concepută pentru a maximiza ceea ce o organizație deja stresată este dispusă să plătească.

Împreună, cererile inițiale umflate, reducerile abrupte și tiparul de extorcare repetată conturează imaginea unui ecosistem construit în jurul pârghiei de presiune, mai degrabă decât al unui schimb corect. Odată ce o victimă plătește, atacatorii au dovada că presiunea funcționează, iar acea informație poate fi folosită din nou, fie împotriva aceleiași organizații, fie împărtășită în cercurile infracționale ca dovadă că o țintă merită urmărită.

Ce înseamnă acest lucru pentru tine

Pentru persoane fizice, întreprinderi mici și mari deopotrivă, concluzia nu este că răscumpărările nu ar trebui plătite niciodată, sub nicio circumstanță (aceasta este o decizie pe care fiecare organizație trebuie să o cântărească în funcție de propria toleranță la risc și de obligațiile legale). Mai degrabă, concluzia este că plata nu ar trebui tratată niciodată ca o soluție garantată. Oricine ia în considerare plata unei răscumpărări trebuie să se pregătească pentru posibilitatea ca aceasta să nu fie ultima cerere și că recuperarea datelor nu este asigurată nici după ce banii își schimbă mâinile.

Acest lucru este deosebit de relevant pentru organizațiile mai mici și pentru persoanele fizice care s-ar putea să nu aibă echipe dedicate de răspuns la incidente. Același raport despre ransomware care arată victimele plătind și apoi negociind din nou subliniază că până și companiile cu resurse solide se luptă să închidă cercul după un atac. Fără suport profesional de răspuns la incidente, șansele unui rezultat favorabil după plată nu sunt neapărat mai bune pentru țintele mai mici.

Implicația practică este că prevenirea și pregătirea contează mult mai mult decât abilitatea de negociere după producerea faptului. Copiile de rezervă fiabile, offline, procedurile de recuperare testate și securitatea solidă a endpoint-urilor reduc pârghia pe care atacatorii o au de la bun început. Dacă o organizație nu trebuie niciodată să ia în considerare plata, deoarece poate restaura din copii de rezervă, întregul ciclu de extorcare, inclusiv riscul unei a doua cereri, devine irelevant.

Concluzii practice

Câțiva pași concreți pot reduce expunerea la ransomware și ciclul de extorcare care urmează:

  • Mențineți copii de rezervă regulate și testate, stocate offline sau într-un mediu separat și izolat, astfel încât recuperarea să nu depindă de cooperarea atacatorului.
  • Tratați orice plată de răscumpărare ca pe o decizie de afaceri cu risc real de cereri ulterioare, nu ca pe o rezolvare garantată.
  • Implicați autoritățile de aplicare a legii și profesioniști experimentați în răspunsul la incidente înainte de a lua decizii de plată, deoarece aceștia au adesea informații despre istoricul unui grup de atacatori.
  • Investiți în igiena de bază a securității, inclusiv aplicarea de patch-uri, autentificarea multifactor și segmentarea rețelei, pentru a reduce șansele de a deveni victimă în primul rând.

În cele din urmă, această cercetare este un memento că o plată ransomware nu cumpără o încheiere, ci cumpără o șansă. Organizațiile care planifică pentru reziliență, în loc să se bazeze pe negociere, se află într-o poziție mult mai puternică, indiferent dacă se confruntă sau nu vreodată cu o cerere de răscumpărare.