När en utpressningsincident inträffar fokuserar rubrikerna på lösensummor, stulen data och driftstopp. En nyare forskningsinriktning undersöker vem som får bära påfrestningen. Arbete från RUSI och University of Kent, som lyfts fram i en ProCircular-artikel om den nya utpressningsekonomin, visade att incidenter lämnar IT- och säkerhetspersonal med stress, utmattning och utbrändhet, och i vissa fall allvarliga hälsoproblem. Utpressningsprogrammens påverkan på säkerhetspersonal är verklig, och den förtjänar en plats i hur organisationer planerar för attacker.

Vad RUSI- och Kent-forskningen visade

Enligt sammanfattningen av forskningen tar utpressningsincidenter en mätbar toll på de människor som hanterar dem. De rapporterade effekterna inkluderar stress, utmattning och utbrändhet, och för vissa responders allvarliga hälsoproblem. Källmaterialet är kortfattat, så det bryter inte ner dessa fynd ytterligare, och vi kommer inte att gissa på siffror utöver vad som rapporterats.

Kärnbudskapet är fortfarande tydligt. Det är lätt att fokusera på system, data och lösensummor och glömma människorna som fångas i mitten. Dessa människor är ofta ett litet internt team som ombeds återställa verksamheten, svara ledningen och fortsätta utreda, allt samtidigt.

Hur utpressning utan kryptering ökar pressen

ProCircular-artikeln ramar in detta inom en bredare förändring: utpressningsprogram behöver inte längre kryptering för att fungera. När angripare stjäl data och hotar att publicera den, upphör pressen inte när systemen är tillbaka online. Att återställa från säkerhetskopior kan åtgärda tillgängligheten, men det ogör inte en stöld.

Det förändrar arbetet för försvarare. Istället för ett tydligt återställningsmål står de inför en öppen osäkerhet: vad som togs, vem som behöver meddelas, och om angripare kommer att fullfölja sina hot. Vår tidigare rapportering om hur 50+ utpressningsintrång avslöjar en ny spelbok för datastöld visar hur vanligt detta tillvägagångssätt har blivit.

Ekonomin bakom det förändras också. Data från Coveware, som tas upp i vår genomgång av hur 64 % av offren nu vägrar betala lösensumma, tyder på att fler organisationer avstår från att betala. Det kan vara ett klokt beslut, men det innebär också att responsteamet kan behöva lägga längre tid på att hantera följderna av läckt eller hotad data.

Varför försvarare absorberar den mänskliga kostnaden

Flera faktorer förklarar varför IT- och säkerhetspersonal bär så mycket av bördan:

  • De är i frontlinjen. Responders är vanligtvis de första att upptäcka incidenten och de sista att avsluta insatsen.
  • Ansvaret landar på dem. Oavsett om en brist var deras fel eller inte, känner de ofta ansvar för utfallet.
  • Arbetet är obevekligt. Utredning, återställning, kommunikation och press från chefer och tillsynsmyndigheter överlappar varandra.
  • Hotet fortsätter komma. Analys från Black Kite, som tas upp i vår rapport om att en ny utpressningsgrupp bildas varje vecka, pekar på en miljö där nästa incident aldrig är långt borta.

Modellen ransomware-as-a-service bidrar till detta. Som vi förklarade i vår artikel om hur ransomware-as-a-service gör hacking till en affärsverksamhet, innebär lägre tekniska barriärer fler angripare och fler försök, vilket innebär mer ihållande belastning på försvarare.

Minska intrångets yta för att begränsa incidentens påverkan

Ett praktiskt sätt att skydda personal är att göra incidenter mindre. Ett intrång som når färre system innebär mindre att utreda, mindre att återställa och färre sömnlösa nätter. Två åtgärder sticker ut:

  • Nätverkssegmentering. Att dela upp ett nätverk i separata zoner begränsar hur långt en inkräktare kan röra sig, så en enda komprometterad maskin är mindre benägen att bli en organisationsomfattande kris.
  • Säker fjärråtkomst. Att noggrant kontrollera hur anställda och leverantörer ansluter, med stark autentisering och begränsade behörigheter, minskar antalet enkla dörrar in i miljön.

Dessa kontroller eliminerar inte risken, men de minskar omfattningen av vad responders måste hantera.

Vad detta innebär för dig

Om du arbetar inom IT eller säkerhet är forskningen en påminnelse om att utmattning efter en incident är ett känt mönster, inte ett personligt misslyckande. Ta upp arbetsbelastning och återhämtningsproblem tidigt, och driv på för realistiska rotationer och vila under responsen.

Om du leder ett team eller driver ett företag, planera för människorna såväl som systemen. Bygg incidentresponsplaner som inkluderar avlastning för responders, tydlig beslutsbefogenhet och stöd efter händelsen. Om du är en vanlig användare, kom ihåg att bakom varje intrångsmeddelande finns ett team som kan ha arbetat sig igenom det under hård press.

Viktiga slutsatser

Utpressningsprogrammens påverkan på säkerhetspersonal är en del av den verkliga kostnaden för utpressning, och den växer när angripare lutar sig mot datastöld och pressmetoder snarare än enbart kryptering. För att agera på det:

  1. Förstå hur modern utpressning fungerar. Börja med vår rapportering om spelboken för datastöld och Covewares fynd om vägranfrekvensen.
  2. Använd nätverkssegmentering och säker fjärråtkomst för att begränsa omfattningen av varje incident.
  3. Skriv in personalvälbefinnande i din incidentresponsplan innan du behöver den.

Mindre incidenter och bättre stöttade team ger en starkare respons, och båda är inom räckhåll.