Singaporestudie: Hälften av dem som betalar vid ransomware drabbas igen

Ny forskning från Singapore ger en obekväm påminnelse till företag som överväger att betala en ransomware-lösensumma: betalningen avslutar ofta inte prövningen. Enligt rapportering från Singapore Business Review betalade 50 % av de lokala organisationer som drabbades av utpressningsattacker pengar till sina angripare, och en anmärkningsvärd andel av de ransomware-offer som betalade fick därefter ett andra krav.

Resultatet går emot ett vanligt antagande om att en lösensumma är ett snabbt sätt att få ett kostsamt problem att försvinna. För många organisationer verkar det ha motsatt effekt: det signalerar till kriminella grupper att offret både är villigt och kapabelt att betala, vilket gör dem till en förstahandskandidat för rond två.

Vad forskningen visade

Studiens kärnsiffra är enkel men nykter. Hälften av de tillfrågade Singaporeorganisationerna som upplevde en ransomware- eller utpressningsattack valde att betala sina angripare. Det är ett beslut som tas under enorm press, där krypterade system, stoppad verksamhet och hotande anseendeskador ofta väger tungt på utfallet.

Det som gör denna datamängd särskilt anmärkningsvärd är uppföljningen: en betydande del av dem som betalade fick inget avslut. I stället fick de ett andra utpressningskrav, vare sig från samma grupp som återvände för mer eller en relaterad aktör som utnyttjade samma åtkomst eller läckta data. Detta mönster är inte unikt för Singapore. Liknande resultat har framkommit på andra håll, inklusive analys som visar att ransomware-gäng återutpressar 22 % av offren som redan betalat, och separat forskning från Nya Zeeland fann att ungefär 1 av 5 lösensumbetalningar sveks av angripare som kom tillbaka för mer trots att de fått betalt.

Tillsammans målar dessa datapunkter en konsekvent bild över olika marknader: att betala en lösensumma köper inte pålitligt säkerhet, och i ett betydande antal fall kan det öka risken för att bli utsatt igen.

Varför angripare kommer tillbaka för mer

Beteendelogiken här är enkel när man betraktar den från brottslingens perspektiv. Ett offer som redan har betalat har visat tre saker värdefulla för en utpressare: de har tillgängliga pengar, de har beslutat att betalning är att föredra framför alternativet, och de kan sakna de tekniska försvaren för att förhindra ett nytt intrång.

Ransomware-verksamheter liknar alltmer företag med egna interna mätetal. En betalande kund är, rättframt uttryckt, en beprövad lead. Vissa grupper arbetar också som partners eller franchisetagare, vilket innebär att ett offers data eller nätverksåtkomst kan säljas vidare eller återanvändas av en helt annan kriminell organisation, vilket resulterar i ett andra krav som inte har något att göra med gruppen bakom den första attacken. Hur som helst får offret bära risken dubbelt upp.

Denna dynamik är exakt varför cybersäkerhetsmyndigheter och forskare länge har avrått från att behandla en lösensumbetalning som en lösning snarare än en tillfällig och opålitlig stötdämpande åtgärd.

Bortom lösensumbetalningar: att bygga verkligt försvar

Om betalning inte är en garanterad lösning, var bör då organisationer och individer fokusera sin energi i stället? Svaret ligger i att minska oddsen för en framgångsrik attack från första början och begränsa skadan när en sådan inträffar.

Det börjar med grunderna: att upprätthålla offline-backuper som är testade så att krypterad data kan återställas utan att förhandla med angripare. Det innebär också att skärpa åtkomstkontroller för fjärranslutningar, eftersom komprometterade inloggningsuppgifter och exponerade fjärrskrivbordsprotokoll förblir vanliga ingångspunkter för ransomware-grupper. Kryptering av känslig trafik och användning av säkra, välkonfigurerade VPN-anslutningar för distans- och hybridarbete kan minska attackytan som kriminella förlitar sig på för att få ett första fotfäste. Medarbetarutbildning för att upptäcka nätfiskeförsök, som fortfarande är en ledande leveransmetod för ransomware-nyttolaster, kompletterar en flerskiktsförsvarsstrategi som inte bygger på hoppet om att angripare håller sitt ord.

Vad detta betyder för dig

För små och medelstora företag i synnerhet bör denna forskning omforma planeringen av incidentrespons. Om din organisation någonsin drabbas av ransomware, ska beslutet att betala inte betraktas som en ren exitstrategi. Budgetera och planera som om betalning endast kan köpa tillfällig lindring, inte permanent lösning. Det innebär att ha en dokumenterad incidentresponsplan, juridisk och regulatorisk vägledning redo i förväg och en klar medvetenhet om att betalning kan bjuda in till ytterligare målsökning snarare än att avsluta händelsen.

För individer och distansarbetare är slutsatsen mer personlig: de svaga punkter som angripare utnyttjar, från opatchad programvara till osäkrade anslutningar, är ofta möjliga att förebygga med grundläggande hygien snarare än dyra verktyg.

Viktiga slutsatser

• Hälften av Singaporeorganisationerna som drabbats av utpressningsattacker betalade sina angripare, enligt den nya forskningen.
• En anmärkningsvärd andel av ransomware-offren som betalade fick ändå ett andra utpressningskrav, vilket speglar liknande resultat globalt.
• Betalning bör behandlas som en sista utväg och inte en garanterad lösning på en pågående attack.
• Starka backuper, säker fjärråtkomst och medvetenhet om nätfiske minskar oddsen för att någonsin behöva ställas inför det beslutet.
• Organisationer bör planera incidentrespons med antagandet att angripare kan återvända, snarare än att anta att betalningen avslutar hotet.

I slutändan är forskningen en uppmaning att flytta fokus från reaktiva betalningsbeslut till proaktivt förebyggande. De företag som är bäst positionerade för att klara en ransomware-attack är de som aldrig behöver avgöra om det är värt risken att betala.