Vad den nya datan om ransomware-betalningar visar

En ny rapport från säkerhetsföretaget Proofpoint, publicerad på onsdagen, levererar en obekväm bekräftelse för alla som någonsin har övervägt att betala en ransomware-grupp för att få ett problem att försvinna: en betydande andel av de som betalar hamnar i en andra utpressningssituation. Rapporten förstärker något som säkerhetsforskare och incidenthanterare har hävdat i åratal – att ransomware-förhandlingar inte sker i god tro, och att betalning inte garanterar att en angripare faktiskt går därifrån.

Proofpoints data sätter hårda siffror på ett mönster som försvarare länge har misstänkt anekdotiskt. Organisationer som går med på ett lösenkrav köper sig inte ett avslut. De köper ofta en andra omgång påtryckningar för samma angripare, eller för en helt annan grupp, att komma tillbaka och begära mer.

Varför en betalning av lösen inbjuder till en andra attack

Logiken bakom upprepad utpressning är okomplicerad när man tänker ur angriparens perspektiv. En ransomware-grupps hela affärsmodell bygger på att offren tror att betalning avslutar krisen. Men det finns inget juridiskt kontrakt, ingen mekanism för verkställighet och ingen ryktesrisk stark nog att garantera en angripares ord när pengarna väl har flyttats. Om ett offer redan har visat villighet och förmåga att betala blir det offret ett mer attraktivt mål, inte ett avslutat konto.

Detta är en del av anledningen till att säkerhetsforskare beskriver ransomware-förhandling som fundamentalt annorlunda än en normal affärstransaktion. Det finns inget incitament för motparten att faktiskt gå därifrån. En kriminell grupp som framgångsrikt har utvunnit en betalning en gång har all anledning att testa om samma organisation kommer att betala igen, antingen genom att återkryptera system, hota att läcka tidigare stulen data en andra gång eller helt enkelt öppna ett nytt krav kopplat till det ursprungliga intrånget.

Denna dynamik är nära besläktad med vad branschen kallar dubbel utpressning eller multiutpressning, där angripare inte bara krypterar filer utan också stjäl data i förväg, vilket ger dem flera tryckpunkter för att pressa ett offer även efter att ett lösen har betalats. Proofpoints resultat tyder på att även efter att den första tryckkampanjen lyckats, är källan inte nödvändigtvis sinad.

Hur oupptäckta intrång gör återutpressning lättare

En anledning till att upprepad utpressning fungerar så bra för angripare är att många offer inte helt förstår omfattningen av ett intrång vid den tidpunkt de bestämmer sig för att betala. Om en organisation upptäcker krypterade filer och förhandlar om ett lösen utan att först identifiera exakt vilken data som har nåtts, kopierats eller lämnats kvar som en bakdörr, har den i praktiken kommit överens om ett pris utan att veta vad den faktiskt köper tillbaka.

Detta glapp mellan upptäckt och respons är ett återkommande tema i ransomware-forskning. Som det tas upp i en relaterad rapport om misslyckanden vid upptäckt av ransomware förlorar nästan hälften av alla ransomware-offer data innan de ens inser att en attack pågår. Den förseningen är oerhört viktig här: om ett offer inte vet att en angripare exfiltrerade data veckor innan ransomware distribuerades, gör det ingenting för att låsa upp filer för att hantera den stulna informationen som ligger på en kriminell server – den kan utnyttjas igen genom ett andra krav, säljas separat eller användas för ett nytt läckagehot längre fram.

Defensiva åtgärder: Säkerhetskopior, övervakning och planering av incidenthantering

Den praktiska slutsatsen från Proofpoints rapport är inte att lösenbetalning aldrig bör ske under några omständigheter. Det är att betalning aldrig ska behandlas som en garanterad lösning. Organisationer – och individer som hanterar mindre nätverk eller företag – får bättre utdelning genom att investera uppströms i förebyggande och upptäckt snarare än nedströms i förhandling.

Det innebär att upprätthålla regelbundna, testade, offline-säkerhetskopior så att krypterade filer kan återställas utan att betala någon. Det innebär att investera i övervakningsverktyg som kan fånga obehörig dataåtkomst innan angripare hinner exfiltrera stora mängder känslig information. Och det innebär att ha en plan för incidenthantering på plats innan en attack inträffar – en som inkluderar rättsmedicinsk utredning för att fastställa exakt vad som har nåtts, inte bara om filer har krypterats.

Vad detta betyder för dig

För småföretagare och privatpersoner är budskapet från denna forskning tydligt: anta inte att betalning av ett lösen är den snabba, rena lösning det kan verka vara i stunden. Angripare som redan har visat sig villiga att utpressa dig en gång har både medel och motiv att göra det igen. Det verkliga försvaret mot upprepade utpressningsattacker från ransomware är inte en bättre förhandlingsstrategi – det är att minska oddsen för att du hamnar i den positionen överhuvudtaget genom starka säkerhetskopior, snabbare upptäckt och en tydlig responsplan.

Praktiska slutsatser

  • Behandla lösenbetalning som en sista utväg, inte en garanterad lösning, eftersom Proofpoints data visar att angripare ofta återkommer med nya krav.
  • Prioritera offline, testade säkerhetskopior så att enbart kryptering inte kan tvinga fram ett betalningsbeslut.
  • Investera i upptäcktsverktyg som fångar dataexfiltrering tidigt, eftersom försenad upptäckt ger angripare mer utrymme för upprepad utpressning.
  • Bygg en plan för incidenthantering innan en attack inträffar, inklusive rättsmedicinska steg för att fastställa den fulla omfattningen av ett eventuellt intrång.
  • Anta att all data som har stulits innan ett lösen betalas förblir en framtida risk, oavsett vad angripare lovar.