Proofpoint: Att betala ransomware-gäng bjuder in till upprepade attacker

Varför betalning av en lösen inte avslutar problemet

När ransomware låser ett företags system är instinkten att betala och gå vidare förståelig. En ny undersökning från säkerhetsföretaget Proofpoint, som omfattar 953 företag, visar att den instinkten kan slå tillbaka. Enligt resultaten blir organisationer som betalar en ransomware-lösensumma ofta mer attraktiva måltavlor, inte mindre. När en kriminell grupp väl har fått bekräftat att ett offer är villigt att betala, kan samma offer märkas för en uppföljningsattack.

Detta är viktigt eftersom logiken bakom lösensummor alltid har vilat på ett enkelt utbyte: pengar mot avslut. Ledningen godkänner betalningar i tron att systemen återställs, stulen data raderas, affärsavbrotten begränsas och kunderna skyddas. Proofpoints forskning visar att detta utbyte är långt mindre pålitligt än de flesta organisationer antar. Att betala innebär inte nödvändigtvis att relationen med angriparen avslutas – i vissa fall inleds en ny.

Affärslogiken bakom ett andra krav

Ransomware-grupper fungerar som företag, och företag söker återkommande kunder. Ett företag som redan har visat att det kommer att betala är, ur ett kriminellt perspektiv, en beprövad intäktskälla. Det har rörelsekapital, en ledningsgrupp som är villig att snabbt godkänna betalning, och har förmodligen fortfarande de sårbarheter som gjorde att den första attacken lyckades från början.

Den sista punkten är avgörande. Att betala en lösen löser den omedelbara krisen, men det åtgärdar sällan de underliggande säkerhetsbristerna som släppte in angriparna. Om samma phishing-vektor, opatchad programvara eller exponerade fjärråtkomstpunkt fortfarande finns kvar efter incidenten, finns det inget som hindrar samma grupp – eller en affiliate som köpt tillgång till samma offerdata – från att försöka igen. Vår tidigare bevakning av Proofpoints forskning om ransomware-betalare går djupare in på hur ofta dessa upprepade incidenter inträffar och varför själva betalningen kan fungera som en signal till andra kriminella grupper om att måltavlan är svag.

Minska utpressningsrisken innan den börjar

Den goda nyheten är att organisationer inte står maktlösa här. Åtgärderna som minskar ransomware-risk är i stort sett samma som säkerhetsteam har rekommenderat i åratal, de får bara större brådska mot bakgrund av dessa data.

Att upprätthålla offline-backuper som har testats är fortfarande det enskilt mest effektiva sättet att undvika att någonsin ställas inför valet att betala eller inte. Om system kan återställas från backup utan att använda angriparens dekrypteringsnyckel, faller hela utpressningspremissen. Nätverkssegmentering spelar också roll: genom att begränsa hur långt en angripare kan röra sig när de väl är inne minskas sprängradien för ett enskilt intrång, vilket i sin tur minskar hävstången under en lösenförhandling.

Kontinuerlig hotövervakning och ändpunktsdetektering hjälper till att fånga intrång innan de eskalerar till fullständiga krypteringshändelser. Många ransomware-attacker pågår i dagar eller veckor mellan den första åtkomsten och den slutliga lasten; det fönstret är en möjlighet att ingripa. Säkra metoder för fjärråtkomst, inklusive användning av VPN för krypterade anslutningar och multifaktorautentisering för alla som loggar in från utanför företagsnätverket, stänger en av de vanligare ingångar som kriminella utnyttjar. Ingen av dessa åtgärder garanterar immunitet, men tillsammans minskar de oddsen för att ett företag överhuvudtaget hamnar inför en lösennota.

Vad detta innebär för dig

Om din organisation någonsin drabbas av ransomware, tyder Proofpoints resultat på att betalning inte bör betraktas som en ren lösning. Innan någon betalning godkänns är det värt att fråga om den underliggande sårbarheten har identifierats och åtgärdats, för om den inte har det kan betalningen helt enkelt vara den första avbetalningen i en pågående relation med angriparen.

Detta är också ett tillfälle att involvera brottsbekämpande myndigheter tidigt snarare än som en eftertanke. Myndigheter som spårar ransomware-grupper kan ibland erbjuda dekrypteringsverktyg, hotinformation om ett specifikt gängs beteende, eller kontext kring huruvida en grupp har en historia av upprepad utpressning. Att ta in extern expertis för incidenthantering innan ett betalningsbeslut fattas, snarare än efteråt, ger en organisation en tydligare bild av sina faktiska alternativ.

För mindre företag utan dedikerade säkerhetsteam är kalkylen liknande men resurserna är knappare. Det gör förebyggande arbete ännu viktigare: grundläggande hygien som regelbundna backuper, patchad programvara och säkra verktyg för fjärråtkomst gör mer för att minska risken än något beslut efter en incident någonsin kan.

Viktiga slutsatser

Huvudlärdomen från denna Proofpoint-undersökning är okomplicerad: en lösenbetalning köper tid, inte nödvändigtvis säkerhet. Organisationer bör behandla varje ransomware-incident som bevis på en säkerhetsbrist som måste åtgärdas, oavsett om en betalning görs eller inte. Praktiska åtgärder värda att prioritera inkluderar att upprätthålla offline-backuper, segmentera nätverk, övervaka för tidiga tecken på intrång och säkra fjärråtkomst med stark autentisering och krypterade anslutningar.

Allra viktigast är att varje betalningsbeslut bör fattas tillsammans med en seriös åtgärdsplan, inte istället för en. Ransomware-gäng driver en affärsverksamhet, och data tyder på att de vet exakt vilka kunder som är värda att fakturera två gånger.