一家勒索软件恢复公司承诺拥有先进技术，可以在不向犯罪分子付款的情况下拯救你被加密的文件。这听起来几乎像是绝地武士级别的本领。根据 Security Boulevard 最近的一篇报道，联邦检察官声称，MonsterCloud 的秘密武器根本不是先进的解密技术。对于任何曾经想知道如何区分一家合法的勒索软件恢复公司与一家过度承诺的公司的人来说，这起案件都是一个有用的提醒。
关于信息来源的说明：我们审阅的报道很简短，以下细节仅限于该报道所述内容。这些是指控，而非有罪认定。我们没有从源材料中获得法院、提交日期或案件编号，因此想要查阅原始记录的读者应直接参考 Security Boulevard 的原文和联邦法院案卷。
检方称 MonsterCloud 实际做了什么
Security Boulevard 那篇题为“These Aren't the Decryption Keys You're Looking For”的文章称，联邦检察官声称 MonsterCloud 的秘密武器并不是先进的解密技术。该公司一直把自己宣传为能够在不让受害者向攻击者付款的情况下恢复加密文件。
我们手头的来源摘录在解释检方称该公司实际上做了什么之前就被截断了，因此我们不会猜测其机制。该报道确实确立的是检方所指出的落差：一边是营销宣传的能力，另一边则是关于真实方法另有其事的指控。
MonsterCloud 有权对这些说法提出抗辩，在法院另有裁定之前，读者应将该案视为尚未解决。
为什么“无需支付赎金”的恢复说法难以核实
勒索软件的受害者很少有能力核实供应商的技术说法。他们通常被锁在关键系统之外，承受时间压力，并且要面对从未见过的人。这种组合使营销话术极具说服力。
有几个因素使核实变得困难：
- 解密是不透明的。 如果文件恢复了，受害者通常无法判断是如何恢复的。供应商可以描述一种专有方法，而客户却无从审查。
- 从外部看，结果看起来完全相同。 无论是通过技术修复、恢复的备份，还是其他途径找回数据，恢复后的数据看起来都一样。
- 紧迫性压制了审视。 停机每小时都在造成金钱损失，因此提出详细问题会显得像是一种奢侈。
- 保密性是推销话术的一部分。 “专有”技术是一个听起来合理的、不解释任何事情的理由。
这并不意味着每家恢复公司都可疑。它意味着，“我们可以在不付款的情况下拿回你的文件”这一说法，应该像攻击者自己承诺会交出一个可用密钥那样，受到同等程度的怀疑。
如何审查勒索软件恢复或事件响应供应商
评估供应商的最佳时机是在你需要他们之前。以下是几项实用检查：
- 准确询问恢复是如何运作的。 一家可信的公司能够用通俗的语言解释其方法，包括在无法解密时该怎么办。
- 将范围写入书面文件。 合同应说明该公司会做什么、不会做什么，以及是否会代表你与攻击者沟通或付款。
- 要求披露任何付款。 如果第三方负责谈判或付款，你应该知道，你的法律顾问和保险公司也应该知道。
- 核查推荐人和过往记录。 索要你可以联系的客户，并查找独立报道或法律历史。
- 警惕保证。 没有人能够诚实保证每一个文件都能恢复。
- 尽早让法律顾问和保险公司参与。 许多保单和法律义务会决定你可以雇用谁，以及付款如何处理。
这对你意味着什么
如果你经营企业、管理 IT，或者只是把重要数据保存在自己的设备上，这起案件凸显了第二层风险。第一层是攻击者。第二层是在压力之下、匆忙决定之后该信任谁。
对于个人和小型组织来说，要点是把恢复供应商视为高信任度供应商，并相应地开展尽职调查。对于更大的团队来说，这提醒他们要预先选择事件响应供应商并签订合同，这样就不会有人在危机中途才去搜索“勒索软件求助”。
这对勒索软件付款与防御意味着什么
更广泛的教训是，准备工作没有捷径。离线、经过测试的备份仍然至关重要，但它们并不是全部。正如我们在关于双重勒索勒索软件以及为什么备份还不够的文章中所解释的，现代攻击者还会窃取数据并威胁泄露，因此恢复文件并不能结束事件。
这正是为什么在压力下做出的决定是有风险的。当时间一分一秒过去时，一个自信的承诺——问题可以无痛解决——会很有吸引力。事先商定的书面计划可以消除大部分这种压力。
关键要点
- 对无需支付赎金即可恢复的说法保持适度怀疑，并询问其方法如何运作。
- 记住，MonsterCloud 被指控的行为尚未得到证实；这些指控来自联邦检察官，公司可以对其提出抗辩。
- 提前以书面形式审查任何勒索软件恢复公司，并纳入法律和保险方面的意见。
- 保留经过测试的离线备份，并同时为数据被盗和加密做好计划，正如我们的双重勒索指南所述。
- 在攻击发生之前，而不是攻击期间，制定事件响应计划并选择供应商。
下次你读到勒索软件恢复公司的大胆承诺时，先要求对方提供细节。现在花几个小时做准备，可以让你避免日后做出代价高得多的决定。
