Vad de nya uppgifterna om upprepad utpressning med ransomware visar

Färska siffror som rapporterats av Connor Jones på DataBreaches.Net bekräftar vad säkerhetsforskare länge misstänkt: att betala ett ransomware-gäng avslutar inte prövningen, utan det är ofta bara början på en andra runda. Enligt enkätdata som citeras i rapporten valde 58 procent av de drabbade brittiska organisationerna att betala lösenbeloppet förra året. Av dem som betalade drabbades 22 procent igen av samma eller en annan kriminell grupp som krävde en ny betalning.

Det innebär att ungefär var femte organisation som fattade det svåra beslutet att betala inte fick något bestående för sina pengar. Utpressningscykeln började helt enkelt om, ibland inom några veckor. Detta mönster av upprepade utpressningsbetalningar vid ransomware-angrepp håller på att bli ett utmärkande drag i dagens hotbild och tvingar säkerhetsteam och ledningsgrupper att ompröva hela kalkylen kring huruvida betalning någonsin är ett rationellt svar.

Varför en enda betalning bjuder in till en ny attack

Logiken bakom upprepad utpressning är enkel ur en brottslings perspektiv. När en organisation visar att den är villig att betala blir den ett markerat mål. Ransomware-operatörer för register över vilka offer som gav efter, hur snabbt de betalade och hur mycket de var beredda att betala ut. Den informationen cirkulerar ofta bland olika filialnätverk och säljs eller delas ibland mellan kriminella grupper som arbetar enligt en ransomware-as-a-service-modell.

Ett offer som en gång betalar 500 000 dollar har i praktiken signalerat att man har både kassareserver och risktolerans nog för att betala igen. Angriparna vet att ett andra intrång, även ett mindre sofistikerat sådant, har god chans att lyckas om de underliggande sårbarheter som möjliggjorde det första intrånget aldrig har åtgärdats fullt ut. I många fall av dubbel och trippel utpressning raderas inte ens de stulna uppgifterna efter betalning, tvärtemot vad som utlovats, vilket lämnar dörren öppen för ett uppföljande krav grundat på hotet att offentliggöra samma stulna information.

Det är just därför som brottsbekämpande myndigheter, däribland FBI, konsekvent har avrått från att betala lösensummor. En betalning garanterar varken dataåterställning, radering av stulna filer eller, som de nya uppgifterna visar, att angriparna håller sig borta.

Proaktiva försvar som minskar risken för ransomware

Om betalning inte på ett tillförlitligt sätt löser problemet, är den mer hållbara vägen att minska sannolikheten för ett lyckat intrång från början. Flera försvarslager dyker konsekvent upp i utredningar efter incidenter som skillnaden mellan en innesluten händelse och en katastrofal sådan.

Nätverkssegmentering begränsar hur långt en angripare kan röra sig efter att ha fått ett första fotfäste. Istället för ett platt nätverk där en enda komprometterad inloggningsuppgift öppnar tillgång till allt, tvingar segmenterade miljöer angriparen att kämpa för varje extra tum, vilket ger försvararna tid att upptäcka och svara.

Zero-trust-åtkomstkontroller utgår från att ingen användare eller enhet automatiskt är pålitlig, inte ens innanför företagets nätverksgräns. Varje åtkomstbegäran verifieras, vilket gör det mycket svårare för stulna inloggningsuppgifter att på egen hand låsa upp kritiska system.

Tillförlitliga, testade och offline-lagrade säkerhetskopior förblir ett av de enskilt mest effektiva försvaren mot ransomware. Krypterade filer slutar vara ett påtryckningsmedel när en organisation kan återställa verksamheten från rena säkerhetskopior utan att förhandla med någon. Nyckelordet är testade: säkerhetskopior som inte har verifierats genom verkliga återställningsövningar fallerar ofta just när de behövs som mest.

Multifaktorautentisering, snabb patching av internetexponerade system och kontinuerlig övervakning av ovanlig lateral rörelse kompletterar grundskyddet som skiljer organisationer som återhämtar sig snabbt från dem som till slut ställs inför ännu ett utpressningskrav.

Vad organisationer bör göra istället för att betala

När en ransomware-incident väl inträffar är instinkten att snabbt betala och få problemet att försvinna förståelig, särskilt under tryck från kunder, tillsynsmyndigheter eller en styrelse som kräver en snabb lösning. Men uppgifterna om upprepad utpressning gör klart att betalning inte är en pålitlig utväg. Organisationer tjänar mer på att tidigt involvera brottsbekämpande myndigheter, anlita experter på incidenthantering som kan bedöma den faktiska omfattningen av dataläckan och vara öppna med berörda intressenter i stället för att anta att en tyst betalning får problemet att försvinna.

Vad detta innebär för dig

Oavsett om du ansvarar för IT i ett litet företag eller övervakar säkerhetspolicyn i en större organisation, är dessa uppgifter en tydlig signal att omfördela prioriteringar. Pengar som avsatts för reservfonder för lösensummor gör betydligt större nytta om de satsas på segmenteringsprojekt, införande av zero-trust och regelbundet testad backup-infrastruktur. Även cyberförsäkringar och avtal om incidenthantering bör ses över för att säkerställa att de betonar förebyggande och återställningsförmåga snarare än att bara täcka utbetalningar.

För privatpersoner är sensmoralen likartad i mindre skala: starka, unika lösenord, multifaktorautentisering och regelbundna säkerhetskopior av personliga enheter och familjeenheter minskar risken för att en enda ransomware-infektion blir en återkommande mardröm.

Praktiska åtgärder

  • Behandla lösenbetalning som en sista utväg, inte som en första åtgärd; uppgifterna visar att den ofta misslyckas med att stoppa hotet.
  • Investera i nätverkssegmentering så att ett enda komprometterat konto inte kan exponera hela miljön.
  • Anta zero-trust-principer för intern och fjärråtkomst, verifiera varje begäran i stället för att lita på nätverksplatsen allena.
  • Upprätthåll offlinekopior som testas regelbundet så att återställning inte är beroende av förhandlingar med brottslingar.
  • Ta fram en incidenthanteringsplan nu, innan en attack inträffar, så att besluten inte fattas under panik och press.

Ökningen av upprepade utpressningsbetalningar vid ransomware är ett starkt argument för att flytta resurser från reaktiv förhandling till proaktivt försvar. Organisationer som genomför den förändringen nu kommer att vara mycket bättre rustade än de som fortfarande hoppas att en enda betalning ska få problemet att försvinna.