Ägaren till MonsterCloud, ett företag som arbetar med återställning efter utpressningstrojaner, har åtalats för att ha lurat offer för utpressningstrojaner. Enligt rapporten betalade han i hemlighet angripare för dekrypteringsnycklar samtidigt som han berättade för kunder att företaget använde egen teknik för att återställa deras krypterade data. Dessa **bedrägerianklagelser mot ett återställningsföretag för utpressningstrojaner** är en nyttig påminnelse om att företaget du kontaktar i en kris kanske inte gör det det säger. Anklagelserna är obevisade i domstol, och de detaljer som hittills finns tillgängliga är begränsade. Ändå väcker fallet praktiska frågor som varje organisation som drabbats av utpressningstrojaner bör vara beredd att ställa. ## Vad MonsterClouds ägare anklagas för Anklagelsen kretsar kring en klyfta mellan vad kunderna fick höra och vad som påstås ha hänt. Offren ska ha fått tro att MonsterCloud återställde deras filer med sin egen teknik. I stället påstår åklagarna att företaget betalade angriparna för dekrypteringsnycklar i det fördolda. Kärnfrågan är inte bara att en lösensumma kan ha betalats. Det är att betalningen påstås ha dolts för de människor vars data och pengar stod på spel. Kunderna fick inte chansen att själva avgöra om de ville finansiera brottslingar. ## Varför hemliga lösensumebetalningar skadar offren När ett återställningsföretag i tysthet agerar mellanhand för en lösensumma förlorar offren flera saker på en gång. - **Informerat val.** Att betala en angripare är ett stort affärsmässigt, juridiskt och etiskt beslut. Att fatta det åt en kund utan att berätta det tar beslutet ur deras händer. - **Korrekt prissättning.** Om avgiften täcker en dold lösensumma plus ett påslag kan kunden inte bedöma om priset är rimligt för det arbete som beskrivs. - **Juridisk och försäkringsmässig klarhet.** Organisationer kan ha rapporteringsskyldigheter, krav från försäkringsbolag eller sanktionsbekymmer kopplade till lösensumebetalningar. En betalning de inte kände till kan inte hanteras på rätt sätt. - **Ärlig riskbedömning.** Ett påstående om egen återställningsteknik antyder att problemet löstes genom skicklighet. I verkligheten kan angriparna fortfarande ha dina data, veta att du betalade och inte ha någon anledning att radera något. Inget av detta betyder att varje företag som förhandlar med angripare agerar felaktigt. Vissa redovisar sin roll öppet. Skadan i detta fall, enligt anklagelserna, kommer från hemlighållandet. ## Varningssignaler när du anlitar ett återställningsföretag för utpressningstrojaner Du kan inte alltid verifiera tekniska påståenden mitt under en incident, men du kan ställa precisa frågor och kräva tydliga svar. 1. **Vaga påståenden om egen teknik.** Fråga vad metoden faktiskt är och om den någonsin har fungerat mot den specifika familj av utpressningstrojaner som drabbade dig. Var misstänksam mot svar som i praktiken innebär "lita på oss." 2. **Ovillighet att skriva ner saker.** En seriös leverantör bör kunna ange i ett avtal om den någonsin kommer att betala eller förhandla med angripare å dina vägnar. 3. **Otydliga avgifter.** Begär en specifikation som separerar arbete, verktyg och eventuella tredjepartsbetalningar. 4. **Press att bestämma sig snabbt.** Brådska är verklig under en incident, men en leverantör som avråder dig från att rådgöra med ditt försäkringsbolag, juridiska rådgivare eller brottsbekämpande myndigheter förtjänar granskning. 5. **Ingen tydlig rapportering.** Du bör få dokumentation om vad som gjordes, inklusive hur filer dekrypterades och var eventuella dekrypteringsnycklar kom ifrån. Innan du skriver under, kontrollera om din cyberförsäkring redan omfattar en granskad incidenthanteringspanel. Att använda en sådan kan minska risken för att anlita ett okänt företag under stress. ## Vad fallet betyder för debatten om lösensumebetalningar Fallet landar mitt i en bredare argumentation om huruvida lösensumebetalningar bör motarbetas eller till och med förbjudas. Vår rapportering om [debatten om förbud mot lösensumebetalningar i Sydafrika](/en/south-africa-ransomware-payment-ban-mip-ceo-firth-backs-it) visar hur delade meningarna är, även bland människor som själva har betalat en lösensumma. Den här historien tillför en komplikation. Om betalningar begränsas eller ogillas kan efterfrågan på tysta mellanhänder växa, och likaså frestelsen att dölja betalningar bakom en återställningstjänst. Vad ett land eller företag än beslutar om att betala, måste transparens om vem som betalar vem vara en del av bilden. ## Vad detta betyder för dig Om du driver ett företag eller sköter IT åt ett, är lärdomen att bestämma din strategi innan en attack inträffar. Bestäm vem du skulle ringa, vad ditt försäkringsbolag kräver och vad din policy är för betalning. En hastig jakt på hjälp i det sämsta möjliga ögonblicket är då misstag och bedrägerier är som mest sannolika. Enskilda användare och mycket små organisationer är inte undantagna. Om en leverantör lovar att låsa upp filer, fråga vad den kommer att göra och hur, och spara en kopia av allt den berättar för dig. ## Konkreta slutsatser - Be alla återställningsleverantörer om **skriftlig redovisning** av huruvida de betalar eller förhandlar med angripare, och huruvida de kommer att berätta det för dig innan de gör det. - Begär en specificerad avgiftsredovisning som visar eventuella tredjepartsbetalningar. - Involvera ditt försäkringsbolag, juridiska rådgivare och brottsbekämpande myndigheter tidigt. - Underhåll offline- och testade säkerhetskopior så att du aldrig tvingas förlita dig på en leverantörs påståenden. - Läs på om den bredare debatten i vår artikel om [förbudet mot lösensumebetalningar i Sydafrika](/en/south-africa-ransomware-payment-ban-mip-ceo-firth-backs-it) för kontext om varför betalning fortfarande är så omstridd. Anklagelserna mot MonsterCloud är påståenden, men de pekar på en tydlig vana som är värd att anamma: innan några pengar eller data byter händer, låt din återställningsleverantör skriftligen ange exakt vad den kommer att göra.