Ny rapport: 37 % av lösenavgiftsbetalare drabbas av upprepad utpressning

Offer för ransomware som betalar i hopp om att problemet ska försvinna blir ofta besvikna. En ny global studie, AI-Era Ransomware Report, undersökte nästan 1 000 säkerhetsproffs på 12 marknader och fann att betalning av lösen långt ifrån är en garanterad lösning. Resultaten ger ny tyngd åt en varning som säkerhetsforskare upprepat i åratal: upprepade utpressningsbetalningar inom ransomware är en verklig och växande risk, inte ett sällsynt undantag.

Vad AI-Era Ransomware Report fann

Undersökningen målar en dyster bild av hur organisationer agerar när ransomware väl slår till. Över hälften av de organisationer som drabbades av en attack, 54 %, slutade med att betala en lösen i ett försök att återställa sina känsliga data. Av dem som betalade återfick 56 % åtkomst till sina filer eller system. Men den mer oroande siffran är vad som hände sedan: mer än en tredjedel av offren, 37 %, fick ett andra utpressningskrav efter att redan ha betalat det första.

Den statistiken borde i sig förändra hur organisationer tänker kring ransomware-åtgärder. Att betala är inte en engångstransaktion som avslutar incidenten. För mer än en tredjedel av offren i denna studie var det helt enkelt det första draget i en längre och dyrare cykel.

Varför betalning inte garanterar säkerhet eller dataåterställning

Det är värt att stanna upp vid matematiken här. Även bland organisationer som betalade återhämtade nästan hälften inte sin data fullt ut. Och en stor andel av dem som faktiskt fick tillbaka sina filer utsattes därefter för nya attacker, antingen av samma angripare som krävde mer pengar eller av en annan grupp som såg betalningen som bevis på att offret var villigt att förhandla.

Detta mönster stämmer överens med annan ny forskning. En Proofpoint-undersökning som täcks av vpn.social fann på liknande sätt att betalning till ransomware-gäng ofta slår tillbaka, där en betydande andel av betalande offer möter förnyade utpressningsförsök. När en organisation väl betalat kan den hamna på en lista över bekräftade betalare, information som cirkulerar bland kriminella grupper och gör organisationen till ett mer attraktivt mål för framtida attacker, inte mindre attraktivt.

Det finns inte heller något bindande avtal i en ransomware-förhandling. Angripare har inga juridiska eller anseendemässiga incitament att hedra sin del av överenskommelsen när pengarna väl överförts. Dekrypteringsnycklar kan vara ofullständiga, buggiga eller helt enkelt aldrig levereras. De data som stals och användes som hävstång kan fortfarande säljas, läckas eller hållas för en andra utpressningsomgång oavsett vad som lovats.

Förebyggande alternativ: säkerhetskopior, kryptering och nätverkssegmentering

Med dessa odds är den mer motståndskraftiga strategin att minska chansen att du någonsin behöver besluta om att betala från första början. Några metoder dyker konsekvent upp som effektiva försvar:

• Underhåll offline, testade säkerhetskopior. Säkerhetskopior som är frånkopplade från huvudnätverket och regelbundet testas för återställning innebär att en organisation kan återhämta sig utan att förhandla med en angripare alls.
• Kryptera känsliga data i vila och under överföring. Även om angripare stjäl filer begränsar stark kryptering vad de faktiskt kan använda eller sälja, vilket minskar hävstången bakom ett dataläckagehot.
• Segmentera nätverk. Att dela upp system i isolerade zoner begränsar hur långt ransomware kan spridas när det väl fått ett första fäste, vilket begränsar skadan till en mindre del av organisationen.
• Uppdatera och övervaka konsekvent. Många ransomware-intrång utnyttjar fortfarande kända, opatchade sårbarheter eller svaga fjärråtkomstuppgifter, så grundläggande hygien stänger en stor del av ingångspunkterna.

Ingen av dessa åtgärder gör en organisation immun mot attacker, men tillsammans minskar de både sannolikheten för en framgångsrik intrång och pressen att betala om en sådan inträffar.

Bygga en incidentresponsplan innan en attack inträffar

De organisationer som klarar sig bäst efter en ransomware-incident tenderar att vara de som redan repeterat sin respons innan attacken inträffade. Det innebär att ha en dokumenterad plan som anger vem som fattar beslutet om att betala, vilka juridiska kontakter och brottsbekämpande kontakter som meddelas, hur kommunikation med anställda och kunder hanteras, och hur system isoleras och återställs.

Att genomföra skrivbordsövningar, där personal går igenom ett simulerat attackscenario, hjälper till att synliggöra luckor i planen medan det inte finns något verkligt tryck på spel. Det påskyndar också den faktiska responsen när en incident väl inträffar, vilket minskar exponeringsfönstret och minskar frestelsen att betala helt enkelt för att inget annat alternativ verkar redo.

Vad detta innebär för dig

För IT-chefer och säkerhetsteam är denna rapport en påminnelse om att upprepade utpressningsbetalningar inom ransomware är vanliga nog att inkluderas i planeringen, inte ett extremscenario. Behandla en lösenbetalning som en sista utväg med en reell chans att misslyckas, inte som en pålitlig försäkring. Budgetera för förebyggande åtgärder (säkerhetskopior, segmentering, övervakning) på samma sätt som du skulle budgetera för andra kärninfrastrukturkostnader, eftersom siffrorna tyder på att det är billigare i längden än upprepade förhandlingar med angripare.

För enskilda användare och mindre organisationer utan ett dedikerat säkerhetsteam fungerar samma principer i mindre skala: håll en offline-kopia av allt som inte kan ersättas, använd kryptering där det finns tillgängligt, och vet i förväg vem du skulle kontakta om dina system någonsin låstes.

Viktiga slutsatser

• 54 % av de undersökta organisationer som drabbades av en ransomware-attack betalade lösen, men endast 56 % av betalarna återfick fullt tillgång till sin data.
• 37 % av organisationer som betalade drabbades av ett andra utpressningskrav, vilket visar att betalning inte avslutar risken.
• Offline-säkerhetskopior, kryptering och nätverkssegmentering minskar både oddsen för en framgångsrik attack och pressen att betala.
• En testad incidentresponsplan, byggd innan en attack inträffar, förkortar återhämtningstiden och minskar beroendet av lösenbetalningar.
• Läsare kan granska Proofpoint-undersökningens resultat för ytterligare bekräftande data om hur ofta lösenbetalningar misslyckas med att lösa en attack.