Компанії продовжують платити викупи, свідчать нові дані

Попри роки рекомендацій, які закликають організації відмовлятися від вимог програм-вимагачів, багато компаній досі виписують чеки кіберзлочинцям. Нове дослідження компанії Proofpoint у сфері безпеки показало, що майже чверть (22%) компаній, які заплатили викуп, знову стали жертвами повторної вимоги вимагання — цифра, що викликає серйозні сумніви щодо того, чи справді сплата щось вирішує.

Дослідження з'являється в момент, коли влада наполегливіше, ніж будь-коли, закликає організації тримати оборону проти зловмисників. Національний центр кібербезпеки Великої Британії (NCSC) вже давно радить не платити викупи, попереджаючи, що це заохочує подальші атаки та не дає жодних гарантій, що викрадені або зашифровані дані справді повернуть. Проте висновки Proofpoint свідчать, що офіційні поради та реальні бізнес-рішення часто є зовсім різними речами.

Чому бізнес все одно платить

Атаки програм-вимагачів ставлять компанії в незавидне становище. Коли системи заблоковані або конфіденційним даним загрожує публічне розголошення, керівники часто змушені зважувати репутаційні збитки, регуляторні ризики та операційні простої проти вартості сплати викупу. Для багатьох організацій сплата може здаватися найшвидшим шляхом до нормального стану, навіть коли експерти з безпеки попереджають, що це рідко вирішується так просто.

Цей розрахунок стає ще складнішим, враховуючи, наскільки професіоналізувався сам бізнес програм-вимагачів. Переговори перетворилися на своєрідну кустарну індустрію, де наймають фірми спеціально для спілкування зі зловмисниками та спроб зменшити вимоги. Але ця індустрія не обійшлася без суперечок. В одному помітному випадку професійного переговірника засудили до 70 місяців ув'язнення за його роль в угоді з BlackCat ransomware, що є суворим нагадуванням: люди, які укладають ці платежі, не завжди діють в інтересах компанії. Пов'язана справа за участю того ж переговірника, ідентифікованого як Мартіно в судових протоколах, ще більше підкреслює, наскільки тіньовою та юридично ризикованою може стати екосистема сплати викупу, коли з'являється посередник.

Ціна сплати для приватності

Статистика 22% повторного вимагання є значущою, оскільки вона суперечить основному виправданню, яке наводять більшість компаній для сплати: що це змушує проблему зникнути. Якщо майже чверть жертв знову стають мішенню після сплати, то платіж не купує безпеку. Він може просто підтверджувати зловмисникам, що організація готова і здатна платити, роблячи її привабливішою мішенню для майбутніх атак.

Існує також вимір приватності, який часто залишається поза увагою в цих дискусіях. Атаки програм-вимагачів часто передбачають крадіжку конфіденційних даних — записів клієнтів, інформації про працівників, фінансових деталей — задовго до будь-якого шифрування. Сплата викупу не скасовує цього витоку. Зловмисники вже могли скопіювати дані, і платіж не надає жодної перевірюваної гарантії, що їх буде видалено, а не продано чи злито пізніше. Для осіб, чиї дані знаходяться в системах скомпрометованої компанії, переговори про викуп, що відбуваються за зачиненими дверима, мало впливають на те, чи залишиться їхня інформація приватною.

Що це означає для вас

Якщо ви споживач, ці дані є нагадуванням, що рішення компанії заплатити викуп не обов'язково захищає вашу особисту інформацію. Повідомлення про витік даних та пропозиції моніторингу кредитної історії після інциденту з програмою-вимагачем варто сприймати серйозно, незалежно від того, чи заявляє постраждала компанія, що врегулювала ситуацію зі зловмисниками.

Якщо ви працюєте в ІТ, безпеці або на керівній посаді, висновки Proofpoint мають безпосередньо враховуватися при плануванні реагування на інциденти. Оплата ніколи не повинна розглядатися як швидке вирішення. Організації, які одного разу заплатили, вочевидь, залишаються привабливими мішенями, а це означає, що плани відновлення мають включати більш потужне пост-інцидентне посилення безпеки, а не лише грошовий переказ і полегшене зітхання.

Практичні висновки

Кілька практичних кроків можуть допомогти зменшити як ймовірність атаки, так і наслідки, якщо вона станеться:

  • Підтримуйте офлайн-резервні копії, які пройшли тестування, щоб вимоги шифрування втратили свій важіль.
  • За замовчуванням розглядайте будь-який інцидент з програмою-вимагачем як витік даних, оскільки зловмисники часто витягують дані перед шифруванням.
  • Звертайтеся до правоохоронних органів та агенцій, таких як NCSC, на ранньому етапі, а не переходьте одразу до сплати чи переговорів.
  • Якщо залучається переговірник, ретельно перевіряйте його, враховуючи юридичні ризики, висвітлені нещодавніми судовими переслідуваннями.
  • Прозоро комунікуйте з постраждалими клієнтами або співробітниками, незалежно від того, чи був сплачений викуп.

Програми-вимагачі нікуди не зникають, і спокуса заплатити за швидке вирішення залишатиметься сильною. Але ці нові дані додають ваги тому, що регулятори говорять роками: сплата викупу рідко є кінцем історії, і це може бути лише початком нової.