Varför 1 av 5 lösensummebetalningar fortfarande slutar i svek

Nyzeeländska företag som överväger att betala en lösensumma fick just en dyster datapunkt. Enligt rapportering om vilka nyzeeländska företag som löper störst risk att utsättas för ransomware-hackare fick 80 % av de betalande offren en fungerande dekrypteringsnyckel och fick inte sin stulna data läckt som utlovat. Det låter lugnande tills man vänder på siffran: i ett av fem fall betalade offren och fick ingenting. Ingen nyckel, inga raderade filer, ingen uppfylld överenskommelse.

Detta är den obekväma kärnan i riskerna med ransomware-lösensummor. Hela utpressningsmodellen bygger på att offren tror att brottslingarna håller sitt ord, eftersom ett rykte om pålitlighet får framtida offer att fortsätta betala. Men rykte bland kriminella grupper är inget juridiskt avtal, och rapporteringen visar tydligt att vissa aktörer helt enkelt tar pengarna och går, eller ännu värre, kommer tillbaka för mer.

Hur ransomware-grupper riktar in sig på och pressar offer på nytt

En av de mer oroande detaljerna i rapporten rör en grupp som heter SpaceBears, vilken enligt uppgift utpressade offer på nytt som redan hade betalat en lösensumma en gång. Istället för att betrakta en betalning som slutet på en incident hamnade dessa offer tillbaka på ruta ett, inför ett andra krav för samma stulna data. Denna taktik underminerar grundpremissen att betalning löser problemet. Om en kriminell grupp har din data garanterar en enskild betalning inte att den försvinner från deras ägo eller från någon annans som de senare säljer den till.

Ransomware-grupper tenderar att fokusera på organisationer som de tror är mer benägna att betala snabbt, ofta för att kostnaden för driftstopp eller ryktesskador överstiger själva lösensumman. Återställningskostnaderna efter en attack är genomgående höga och täcker forensisk utredning, systemåteruppbyggnad, juridisk rådgivning och potentiella regulatoriska rapporteringsskyldigheter. Det ekonomiska trycket är precis vad angriparna räknar med när de sätter sitt pris och sin tidsfrist.

Minska exponeringen: Dataskydd och grundläggande säkerhetshygien

Med tanke på att även en framgångsrik betalning har ungefär 20 % risk att misslyckas, och att vissa grupper kan utnyttja offer två gånger, är den mer hållbara strategin att minska oddsen för en framgångsrik attack från första början. Detta börjar med grundläggande men ofta förbisedd säkerhetshygien: regelbundna offline- eller oföränderliga säkerhetskopior som ransomware inte kan nå, snabb patchning av kända sårbarheter, flerfaktorsautentisering vid alla fjärråtkomstpunkter och nätverkssegmentering så att ett enda komprometterat konto inte kan leda till en fullständig krypteringshändelse.

Dataminimering är lika viktigt som tekniska försvar. Organisationer som lagrar mindre känslig data, behåller den under kortare perioder och krypterar det de sparar ger angriparna mindre hävstång även om ett intrång skulle ske. Det är också här som förståelse för VPN-jurisdiktion blir relevant för företag och privatpersoner som hanterar känslig trafik. Det land där en tjänsteleverantör juridiskt är baserad avgör vilken data den kan tvingas lämna ut och vilken rättslig prövning offren har om något går fel. Att välja verktyg och leverantörer med tydlig, gynnsam jurisdiktion är en del av en bredare försvarshållning, inte en separat angelägenhet från ransomware-förebyggande.

Bredare digitalpolitiska diskussioner i Nya Zeeland sammanfaller också med denna fråga. Som diskussionerna kring Nya Zeelands planer på åldersverifiering visar, debatterar landet aktivt hur mycket personuppgifter plattformar och tillsynsmyndigheter bör samla in och lagra. Varje ny pool av lagrad personlig information är ett potentiellt ransomware-mål, vilket gör dataminimering till en offentlig policyfråga lika mycket som en företagsfråga.

Vad detta innebär för företag och vanliga användare

För nyzeeländska företag är slutsatsen inte att det alltid är meningslöst att betala en lösensumma. Siffran 80 % visar att angripare ofta levererar. Men att behandla betalning som en tillförlitlig försäkring är ett misstag som data inte stödjer. En felfrekvens på en av fem, i kombination med dokumenterade fall av upprepad utpressning, innebär att betalning bör vara en sista utväg vägd mot juridiska, ekonomiska och ryktesmässiga faktorer, inte ett standardsvar inbakat i en incidenthanteringsplan.

För vanliga användare är läxan densamma i mindre skala. Personliga säkerhetskopior, unika lösenord och försiktig hantering av e-postbilagor och länkar förblir de billigaste och mest effektiva försvaren mot den ransomware som så småningom når individer via nätfiskekampanjer. Återställning i efterhand, oavsett om du är ett stort företag eller en hemanvändare, är dyrt och osäkert jämfört med förebyggande.

Viktiga punkter

  • Cirka 20 % av ransomware-offer som betalar får ingenting tillbaka, trots löften om dekrypteringsnycklar och dataradering.
  • Vissa ransomware-grupper, inklusive SpaceBears, har utpressat offer på nytt som redan betalat en gång.
  • Tillförlitliga offline-säkerhetskopior och starka åtkomstkontroller minskar beroendet av lösensummor helt.
  • Dataminimering och medvetenhet om leverantörers jurisdiktion minskar den hävstång angripare kan ha över dig.
  • Riskerna med ransomware-lösensummor bör ingå i varje organisations incidenthanteringsplanering, inte bara den omedelbara kostnaden för kravet.

Att förstå riskerna med ransomware-lösensummor handlar i slutänden om att inse att förebyggande, backupdisciplin och noggrann datahantering erbjuder större säkerhet än att lita på att ett kriminellt företag uppfyller sin del av en utpressningsuppgörelse.