Att betala ransomware-hackare garanterar inte fred

Organisationer som betalar en ransomware-lösensumma i hopp om att få problemet att försvinna bör kanske tänka om. Ny forskning som TechRadar har tagit del av visar att medan 56 % av offren som betalade en lösensumma fick tillgång till sina system igen, så drabbades mer än en tredjedel, 37 %, av ett andra utpressningskrav kort efter den första betalningen. Ytterligare 2 % betalade och återfick aldrig sina data överhuvudtaget.

Resultaten utmanar ett vanligt antagande om att betalning av en ransomware-lösensumma är en enkel transaktion: betala, få en dekrypteringsnyckel, gå vidare. Istället tyder datan på att den första betalningen för en betydande andel av offren behandlas av angriparna som ett inledande drag snarare än en lösning. Detta ligger i linje med vad annan ny forskning har visat. En separat rapport om ransomware fann att nästan hälften av organisationerna betalar och sedan förhandlar, vilket förstärker bilden av att ransomware-betalningar sällan är en ren engångskostnad.

Varför hackare kommer tillbaka för mer

Logiken bakom ett upprepat utpressningsförsök är enkel ur angriparens perspektiv. Om en offerorganisation redan har visat vilja och förmåga att betala, blir den organisationen ett mer attraktivt mål för uppföljningskrav. Ransomware-grupper vet att företag under press att återställa verksamheten, skydda kunddata eller undvika regulatoriska sanktioner ofta är villiga att betala igen snarare än att riskera långvariga driftstopp eller ett offentligt dataintrång.

Forskningen lyfter också fram en annan komplikation i förhandlingsprocessen kring lösensummor: prisflexibilitet. Experter som citeras i rapporten noterar att ransomware-aktörer ofta sänker sitt ursprungliga krav, med vissa rabatter på upp till 96 % av det ursprungliga priset. Detta är inte generositet. Det speglar en förhandlingsstrategi där den första siffran är medvetet uppblåst, och det verkliga målet helt enkelt är att pressa fram någon form av betalning från offret. Att förstå denna dynamik är viktigt eftersom det visar att lösensummor inte är fasta priser satta av en rationell marknad. De är öppningsbud i en förhandling utformad för att maximera vad en redan stressad organisation är villig att betala.

Sammantaget målar de uppblåsta initiala kraven, de branta rabatterna och mönstret med upprepad utpressning upp en bild av ett ekosystem som bygger på påtryckning snarare än rättvist utbyte. När ett offer väl betalar har angriparna bevis på att press fungerar, och den informationen kan användas igen, antingen mot samma organisation eller delas inom kriminella kretsar som bevis på att ett mål är värt att fullfölja.

Vad detta innebär för dig

För privatpersoner, småföretag och stora företag är lärdommen inte att lösensummor aldrig ska betalas under några omständigheter (det är ett beslut varje organisation måste väga utifrån sin egen riskaptit och rättsliga skyldigheter). Snarare är lärdommen att betalning aldrig ska behandlas som en garanterad lösning. Var och en som överväger att betala en lösensumma måste planera för möjligheten att det inte blir det sista kravet, och att dataåterställning inte är garanterad ens efter att pengar har bytt ägare.

Detta är särskilt relevant för mindre organisationer och privatpersoner som kanske inte har dedikerade team för incidenthantering. Samma ransomware-rapport som visar att offer betalar och sedan förhandlar igen understryker att även resursstarka företag kämpar med att avsluta ärendet efter en attack. Utan professionellt stöd för incidenthantering är oddsen för ett gynnsamt utfall efter betalning inte nödvändigtvis bättre för mindre måltavlor.

Den praktiska innebörden är att förebyggande och förberedelser är långt viktigare än förhandlingsförmåga i efterhand. Tillförlitliga, offline-lagrade säkerhetskopior, testade återställningsprocedurer och starkt slutpunktsskydd minskar det inflytande angripare har från början. Om en organisation aldrig behöver överväga att betala eftersom den kan återställa från säkerhetskopior, blir hela utpressningscykeln, inklusive risken för ett andra krav, irrelevant.

Praktiska lärdomar

Några konkreta steg kan minska exponeringen för ransomware och den efterföljande utpressningscykeln:

  • Upprätthåll regelbundna, testade säkerhetskopior som lagras offline eller i en separat, isolerad miljö så att återställning inte är beroende av angriparens samarbete.
  • Behandla varje lösensumma som ett affärsbeslut med reell risk för uppföljningskrav, inte som en garanterad lösning.
  • Involvera brottsbekämpande myndigheter och erfarna incidenthanteringsspecialister innan betalningsbeslut fattas, eftersom de ofta har insyn i en angripares historik.
  • Investera i grundläggande säkerhetshygien, inklusive patchning, multifaktorautentisering och nätverkssegmentering, för att minska risken att bli ett offer från första början.

I slutändan är denna forskning en påminnelse om att en ransomware-betalning inte köper avslut, den köper en chans. Organisationer som planerar för motståndskraft istället för att förlita sig på förhandling står i en mycket starkare position, oavsett om de någonsin möter ett lösensummakrav eller inte.