Сплата викупу хакерам не гарантує спокою

Організації, які сплачують викуп програм-вимагачів, сподіваючись, що проблема зникне, можливо, варто переглянути цю стратегію. Нове дослідження, опубліковане TechRadar, показало, що хоча 56% жертв, які заплатили викуп, знову отримали доступ до своїх систем, більше третини, 37%, отримали другу вимогу вимагання одразу після передачі першої оплати. Ще 2% заплатили і взагалі не відновили свої дані.

Ці результати ставлять під сумнів поширене припущення, що сплата викупу — це проста транзакція: заплати, отримай ключ дешифрування, рухайся далі. Натомість дані свідчать, що для значної частки жертв перший платіж сприймається зловмисниками як початковий хід, а не як вирішення. Це узгоджується з результатами інших недавніх досліджень. Окремий звіт про програми-вимагачі виявив, що майже половина організацій платять, а потім ведуть переговори, підкріплюючи думку, що виплати за програми-вимагачі рідко бувають чистою одноразовою витратою.

Чому хакери повертаються за більшим

Логіка повторної спроби вимагання з точки зору зловмисника проста. Якщо організація-жертва вже продемонструвала готовність і здатність платити, вона стає більш привабливою ціллю для подальших вимог. Групи програм-вимагачів знають, що компанії, які перебувають під тиском відновлення роботи, захисту даних клієнтів або уникнення регуляторних штрафів, часто готові платити знову, а не ризикувати тривалим простоєм чи публічним розкриттям факту зламу.

Дослідження також висвітлює ще один нюанс процесу переговорів про викуп: цінову гнучкість. Експерти, цитовані у звіті, зазначають, що оператори програм-вимагачів часто знижують початкову вимогу, причому деякі знижки сягають 96% від початкової ціни. Це не щедрість. Це відображає стратегію переговорів, за якої перша цифра навмисно завищена, а справжня мета — просто отримати від жертви якийсь платіж, будь-який платіж. Розуміння цієї динаміки важливе, оскільки показує, що вимоги викупу не є фіксованими цінами, встановленими раціональним ринком. Це початкові ставки в переговорах, спрямованих на максимізацію того, що вже напружена організація готова заплатити.

У сукупності завищені початкові вимоги, значні знижки та схема повторних вимагань створюють картину екосистеми, побудованої на важелях впливу, а не на чесному обміні. Щойно жертва платить, зловмисники отримують доказ, що тиск працює, і це знання може бути використане знову — або проти тієї самої організації, або поширене в колах кіберзлочинців як свідчення того, що ціль варта переслідування.

Що це означає для вас

Для приватних осіб, малого бізнесу та великих підприємств однаково висновок не в тому, що викуп ніколи не слід платити за жодних обставин (це рішення, яке кожна організація повинна зважити, виходячи з власної толерантності до ризику та юридичних зобов’язань). Радше висновок полягає в тому, що платіж ніколи не слід розглядати як гарантоване виправлення. Будь-хто, хто розглядає можливість сплати викупу, повинен планувати ймовірність того, що це не буде остання вимога, і що відновлення даних не гарантоване навіть після передачі грошей.

Це особливо актуально для невеликих організацій і приватних осіб, які можуть не мати спеціалізованих команд реагування на інциденти. Той самий звіт про програми-вимагачі, який показує, що жертви платять, а потім знову ведуть переговори, підкреслює, що навіть добре забезпечені компанії насилу завершують інцидент після атаки. Без професійної підтримки з реагування на інциденти шанси на сприятливий результат після сплати не обов’язково кращі для менших цілей.

Практичний наслідок полягає в тому, що запобігання та підготовка є значно важливішими, ніж навички переговорів після факту. Надійні офлайн-резервні копії, перевірені процедури відновлення та потужний захист кінцевих точок зменшують важіль впливу зловмисників насамперед. Якщо організації ніколи не доведеться розглядати можливість сплати, оскільки вона може відновитися з резервних копій, весь цикл вимагання, включно з ризиком другої вимоги, стає нерелевантним.

Дієві рекомендації

Кілька конкретних кроків можуть зменшити вразливість до програм-вимагачів і подальшого циклу вимагання:

  • Підтримуйте регулярні, перевірені резервні копії, які зберігаються офлайн або в окремому ізольованому середовищі, щоб відновлення не залежало від співпраці зловмисників.
  • Ставтеся до будь-якого платежу викупу як до бізнес-рішення з реальним ризиком подальших вимог, а не як до гарантованого вирішення.
  • Залучайте правоохоронні органи та досвідчених фахівців з реагування на інциденти перед прийняттям рішень про сплату, оскільки вони часто мають уявлення про репутацію групи зловмисників.
  • Інвестуйте в базову гігієну безпеки, включаючи встановлення виправлень, багатофакторну аутентифікацію та сегментацію мережі, щоб зменшити ймовірність стати жертвою в першу чергу.

Зрештою, це дослідження є нагадуванням, що сплата викупу за програму-вимагач не купує завершення справи, вона купує шанс. Організації, які планують стійкість замість того, щоб покладатися на переговори, перебувають у значно вигіднішому становищі, незалежно від того, чи зіткнуться вони коли-небудь із вимогою викупу взагалі.