Майже половина все ще платять, але спочатку торгуються

Новий звіт, що поширюється, малює знайому, але неприємну картину: майже половина організацій, які постраждали від шифрування програм-вимагачів, зрештою платять викуп. Особливість у тому, що приблизно половина цих жертв не просто передають усю вимагану суму. Натомість вони торгуються, часто змушуючи зловмисників погодитися на меншу суму, ніж початкова ціна, перш ніж розблокувати зашифровані файли.

На перший погляд, це може здатися маленькою перемогою для жертв. Змусити злочинне угруповання знизити ціну відчувається як незначна перемога в інакше поганій ситуації. Але головна історія тут не про те, хто краще торгується. Йдеться про те, що означає той факт, що сплата викупу та переговори зі злочинцями стали нормалізованою частиною того, як організації реагують на кібератаки.

Чому компанії платять, а не відмовляються

Програми-вимагачі працюють шляхом шифрування файлів і систем організації, роблячи їх непридатними до використання, доки не буде надано ключ дешифрування, зазвичай в обмін на оплату. Для компаній без надійних резервних копій або тих, хто відчуває тиск швидко відновити роботу, сплата викупу може здаватися найшвидшим шляхом до повернення до норми. Цей розрахунок стає ще легше виправдати, коли зловмисник готовий знизити ціну, що, як свідчить звіт, трапляється часто.

Ця динаміка переговорів не є новою для економіки програм-вимагачів. Багато операцій з програмами-вимагачами зараз ведуться як бізнес, із чатами підтримки, платіжними порталами та, так, можливістю для торгу. Ця професіоналізація є частиною того, чому сплата стала таким поширеним результатом, а не крайнім заходом.

Але сплата не гарантує чистого вирішення. Навіть коли викуп сплачено і ключ дешифрування передано, немає гарантії, що зловмисники вже не скопіювали конфіденційні дані до шифрування. Це критична деталь, яка часто втрачається в розмовах про переговори щодо викупу: платіж зазвичай стосується відновлення доступу до файлів, а не скасування витоку даних, який, можливо, вже стався.

Ризик для приватності, що ховається за кожним викупом

Тут історія пов'язується з набагато більшою проблемою приватності. Атаки програм-вимагачів все частіше включають крадіжку даних поряд із шифруванням, тобто зловмисники вивантажують копії конфіденційних файлів перед тим, як заблокувати оригінали. Пов’язані звіти виявили, що 49% жертв програм-вимагачів втрачають дані до виявлення атаки, а це означає, що до моменту, коли надходить вимога викупу, шкода для особистих та організаційних даних, можливо, вже завдана.

Ця деталь має величезне значення для кожного, чия особиста інформація знаходиться в системах організації, чи це роботодавець, медичний заклад, школа або інтернет-магазин. Успішні переговори про суму викупу не скасовують крадіжку даних, яка вже сталася. Це також не заважає зловмисникам пізніше продати або злити ці дані, незалежно від того, чи було сплачено викуп повністю, чи суму зменшено в результаті переговорів, чи відмовлено взагалі.

Сплата викупу, навіть зменшеного, також ризикує зміцнити саму бізнес-модель. Кожен успішний платіж, незалежно від переговорів, сигналізує зловмисникам, що програми-вимагачі залишаються прибутковими, що зберігає структуру стимулів для майбутніх атак на інші організації.

Що це означає для вас

Більшість людей, які читають про статистику сплати викупів за програми-вимагачі, не є тими, хто вирішує, чи платити. Це рішення зазвичай приймають IT-керівники, керівництво компаній або команди реагування на інциденти. Але наслідки поширюються на співробітників, клієнтів і всіх, чиї дані знаходяться в постраждалих системах.

Якщо ви отримуєте повідомлення про витік даних від компанії, яка зазнала атаки програм-вимагачів, ставтеся до нього серйозно незалежно від того, чи згадується сплата викупу. Крадіжка даних може статися ще до початку шифрування, тому сплачений викуп і відновлена система не обов’язково означають, що ваша інформація в безпеці. Слідкуйте за ознаками крадіжки особистих даних, відстежуйте свої облікові записи та розгляньте можливість моніторингу кредитної історії, якщо організація пропонує це після інциденту.

Для бізнесу та IT-команд тенденція до переговорів нагадує, що планування реагування має враховувати витік даних, а не лише простій систем. Резервні копії допомагають уникнути сплати за ключ дешифрування, але вони не запобігають витоку або продажу викрадених даних, якщо зловмисники вже вивантажили їх заздалегідь.

Практичні висновки

  • Не припускайте, що сплата викупу означає, що ваші дані ніколи не були скопійовані або викриті; запитайте постраждалі організації безпосередньо, що саме було підтверджено викраденим.
  • Відстежуйте активність облікових записів і кредитну історію після будь-якого повідомлення про витік, навіть якщо компанія заявляє, що проблему з викупом вирішено.
  • Якщо ви керуєте бізнесом, надайте пріоритет ранньому виявленню та сегментації мережі, щоб у зловмисників було менше часу на вивантаження даних до початку шифрування.
  • Розумійте, що переговори щодо викупу знижують вартість, але не ризик; викриття викрадених даних залишається окремою та тривалою загрозою.

Тенденції щодо сплати викупів, ймовірно, продовжуватимуть потрапляти в заголовки, оскільки дедалі більше організацій зважують вартість сплати проти вартості відновлення. Але для звичайних користувачів справжній висновок не в тактиках переговорів. Йдеться про те, щоб залишатися пильними щодо того, що відбувається з вашими даними ще довго після того, як заголовки про сплату викупу зникнуть.