Коли на екранах компанії з’являється повідомлення про викуп, першим інстинктом часто є сприйняти це як ІТ-надзвичайну ситуацію: ізолювати мережу, викликати службу безпеки, оцінити шкоду для серверів. Але дедалі більше рекомендацій, найсвіжіші з яких нещодавно детально виклало видання Cyber Daily у своєму розборі процесу ухвалення рішень при кібервимаганні, чітко показують, що сплата викупу чи відмова від нього — це значно більше, ніж технічний вибір. Це юридичне, фінансове, а передусім — рішення стосовно конфіденційності, яке зачіпає кожного клієнта, співробітника та партнера, чиї дані перебувають у зламаних системах.

Юридичне мінне поле за рішенням про викуп

Один із найбільш недооцінених аспектів кібервимагання полягає в тому, що переказ грошей злочинцям далеко не завжди є юридично однозначним. Залежно від того, хто стоїть за атакою, сплата викупу може наразити організацію на санкційні ризики, особливо якщо зловмисник або його інфраструктура пов’язані з підсанкційною особою чи юрисдикцією. Організації, які поспішають сплатити без юридичної перевірки, ризикують потрапити під регуляторну перевірку на додачу до самої витоки. Як ми вже писали раніше в матеріалі про те, як виплати за програми-вимагачі ризикують потрапити під санкції OFAC, рішення сплатити — це не лише питання того, чи може компанія дозволити собі вимогу. Це питання законності самого платежу і того, чи провела організація належну перевірку, щоб це з’ясувати.

Саме тому реагування на кібервимагання не може залишатися виключно у віданні ІТ-відділу. Юрисконсульти, комплаєнс-офіцери, а часто й правоохоронні органи мають бути залучені до розмови з найранішого моменту, а не вже після того, як гроші переказано.

Чому це проблема конфіденційності, а не лише ІТ-проблема

Раніше програми-вимагачі переважно блокували файли. Це змінилося. Сучасні злочинні угруповання дедалі частіше викрадають дані перед тим, як щось зашифрувати, а потім використовують загрозу оприлюднення як важіль. Така зміна перетворює кожен інцидент із програмою-вимагачем на інцидент із порушенням безпеки даних, незалежно від того, чи вдалося зрештою відновити системи.

Ми бачили, як ця еволюція прискорюється в реальному часі. Деякі угруповання пішли далі від прямого тиску на жертву й тепер погрожують зв’язатися з клієнтами самої компанії, чинячи тиск на людей, чия особиста інформація насправді опинилася під загрозою. Ця тактика повністю змінює розрахунки: навіть повна сплата викупу не гарантує, що викрадені дані клієнтів не будуть оприлюднені, продані або використані для подальшого вимагання.

Організаціям, які зважують вимогу про викуп, потрібно запитувати не лише «чи зможемо ми відновити свої системи», але й «що станеться з особистими даними всіх у наших системах, хоч би яке рішення ми ухвалили». Сплата викупу може принести ключ дешифрування. Вона не стирає того факту, що конфіденційні дані від самого початку потрапили до рук злочинців.

Сплата не гарантує безпеки

Навіть коли організації платять, немає жодних надійних доказів, що це вирішує проблему. Дослідження Proofpoint виявило, що значна частка компаній, які платять викуп, стикається з повторними спробами вимагання, іноді від тих самих зловмисників, які повертаються по другу виплату. Ці дані підривають один із найпоширеніших аргументів на користь сплати: віру в те, що це змусить проблему зникнути.

Деякі організації обрали зовсім інший шлях. Швейцарський виробник потягів Stadler Rail публічно відмовився від багатомільйонної вимоги викупу після того, як зловмисники викрали дані через стороннього постачальника, зробивши ставку на те, що відмова несе менший ризик, ніж легітимізація економіки вимагань. Тим часом ландшафт програм-вимагачів постійно змінюється; нещодавній галузевий огляд, який відстежує, які угруповання домінують у поточному середовищі загроз, показує, що сплата одному угрупованню не зменшує загального ризику від десятків інших, які залишаються активними.

Що це означає для вас

Незалежно від того, керуєте ви малим бізнесом чи відповідаєте за безпеку великого підприємства, рішення «платити чи не платити» ніколи не можна ухвалювати ізольовано тим, хто адмініструє сервери. Воно потребує юридичної перевірки на предмет санкцій та регуляторних ризиків, оцінки впливу на конфіденційність — які саме дані були доступні, — а також реалістичного розуміння того, що сплата не дає жодної гарантії від майбутнього вимагання чи витоку інформації. Для пересічних споживачів висновок інший, але пов’язаний: безпека ваших особистих даних після витоку значною мірою залежить від рішень компаній, з якими ви, можливо, ніколи безпосередньо не взаємодієте. Саме тому важливо розуміти, як організації реагують на кібервимагання, навіть якщо не ви особисто дивитеся на повідомлення про викуп.

Практичні висновки

Організаціям слід розробити план реагування на інциденти ще до того, як станеться атака, і чітко включити до нього юридичного радника та оцінку впливу на конфіденційність поруч із технічним усуненням наслідків. Ніколи не ставтеся до рішення про викуп як до суто фінансового; санкційні та комплаєнс-ризики реальні й можуть примножити шкоду від початкової витоки. Припускайте, що будь-які викрадені дані вже скомпрометовані — незалежно від сплати, — і відповідно плануйте сповіщення клієнтів і співробітників. Нарешті, пам’ятайте, що найбезпечнішою довгостроковою стратегією проти кібервимагання є не швидка сплата викупу, а надійніший захист, який не дає змоги самій спробі вимагання досягти успіху.