At betale eller ikke betale: DriveSavers giver sin vurdering, efter at være blevet citeret i Financial Times

Den britiske regering arbejder videre med planer om at forbyde løsesumbetalinger helt for offentlige myndigheder og udbydere af kritisk national infrastruktur, herunder NHS, kommuner og skoler. Det er et alvorligt svar på et alvorligt problem. De fleste ofre for ransomware er små og mellemstore virksomheder, ikke operatører af kritisk infrastruktur. Et forbud rettet mod operatører af kritisk infrastruktur rammer derfor kun en lille del af det samlede antal angreb, og vil derfor alene formentlig gøre lidt for at reducere det samlede omfang af ransomware-kriminalitet.

Der findes allerede en testcase for dette. North Carolina forbød ransomware-betalinger for offentlige myndigheder i 2021, og Florida fulgte trop i 2022. Ingen af forbuddene ser ud til at have haft en mærkbar afskrækkende effekt på den kriminelle aktivitet i nogen af staterne. Haydn Brooks, administrerende direktør for Risk Ledger, rejste en relateret pointe i samme artikel: hvis offentlige organer ikke kan betale, vil kriminelle grupper sandsynligvis vende sig mod mindre regulerede mål i den private sektor, og forsikringsselskaber kan reagere ved helt at udelukke ransomware-udbetalinger, hvilket til gengæld vil presse præmierne op.

Det juridiske billede ser anderledes ud andre steder. Storbritannien, Australien og andre jurisdiktioner, hvor DriveSavers opererer, overvejer eller håndhæver allerede deres egne restriktioner, så organisationer uden for USA bør ikke antage, at amerikanske regler gælder for dem.

De sager, DriveSavers arbejder med, har en struktur, som ikke var lige så konsekvent for nogle år tilbage. Før angriberne krypterer systemerne, ødelægger eller sletter de nu backup-infrastrukturen: Veeam-backuparkiver, Hyper-V-værter og VMware ESXi-værter er gode eksempler på dette. Cirka halvdelen af de ransomware-datagenoprettelsessager, som DriveSavers har behandlet i løbet af de seneste to år, involverede angribere, der specifikt målrettede Veeam-backups, før de rørte de primære servere. Veeam er den dominerende backup-platform til virtualiserede miljøer, med omkring 550.000 kunder på verdensplan, og mange IT-teams er ikke klar over, at slettede eller beskadigede Veeam-backupfiler ofte stadig kan gendannes med de proprietære gendannelsesværktøjer og -teknikker, som DriveSavers har udviklet.

Dekrypteringsværktøjer, der leveres af angriberne, er også upålidelige, især ved store filer og databaser. Organisationer, der betaler løsesum for at få et dekrypteringsværktøj, har ofte stadig brug for professionel datagenoprettelse bagefter for at få et komplet sæt brugbare filer, fordi selve dekrypteringsprocessen efterlader dataene beskadigede. Og uforanderlige (immutable) backups er, selvom de virkelig er værd at investere i, ikke fejlsikre. DriveSavers har genskabt kritiske data i sager, hvor en backupserver markedsført som uforanderlig var blevet fuldstændig slettet, fordi den software, der administrerede denne uforanderlighed, selv var blevet kompromitteret.

I en nylig sag hjalp DriveSavers et forsikringsselskab med at undgå et løsesumkrav, der blev beskrevet som liggende i millionklassen, ved at gendanne alle nødvendige driftsdata fra slettede backups. De nødvendige datagenoprettelsesydelser kostede kun en brøkdel af det beløb. Det er en del af en bredere udvikling: forsikringsselskaber spørger nu rutinemæssigt, om datagenoprettelse er mulig, før de godkender en løsesumbetaling, hvilket ikke var et standardspørgsmål for nogle år siden.

At betale en løsesum garanterer ikke, at angriberne udleverer en fungerende dekrypteringsnøgle, at dine data kommer tilbage intakte, eller at stjålne data ikke alligevel dukker op et andet sted senere.

Det modsatte udsagn kræver samme forsigtighed, og det er nyttigt at skelne mellem to begreber:

Nogle af de andre personer, der blev citeret sammen med Maus, fremhævede en pointe, der fortjener mere opmærksomhed end selve forbudsdebatten. Gavin Millard, VP for produkt hos Tenable, sagde det ligeud: det mere nyttige spørgsmål er, hvordan man fra begyndelsen gør ransomware mindre profitabelt. De fleste angreb udnytter stadig kendte sårbarheder og eksponerede systemer, hvorfor eksponeringsstyring gør mere gavn på lang sigt end nogen betalingspolitik. Spencer Young fra Delinea kom med en relateret pointe om adgangskontrol: at begrænse stående tilladelser, så en enkelt stjålet legitimationsoplysning ikke kan bevæge sig frit gennem et netværk, reducerer skaden, selv når et angreb lykkes.

Hvad angår beredskab, har de organisationer, der kommer sig hurtigst, som regel allerede på forhånd dokumenteret, hvor deres backups opbevares, hvilke systemer der er kritiske, og hvem man skal kontakte, inden et angreb overhovedet finder sted. Den kontaktliste bør opbevares et andet sted end de primære servere, så den ikke bliver krypteret sammen med alt andet, og den bør omfatte juridisk rådgivning, cyberforsikringsselskabet og en datagenoprettelsestjeneste.

At løse dilemmaet om, hvorvidt man skal betale et ransomware-krav, er aldrig enkelt. Betragt det som en beslutning med flere afgørende faktorer, ikke som et enkelt moralsk valg: hvor følsomme dataene er, om backups overlevede, hvem den specifikke angriber er, hvordan den juridiske eksponering ser ud, og hvor realistisk datagenoprettelse faktisk er. Skaf ekstern hjælp tidligt, før en løsesumfrist tvinger dig til en beslutning, så du har flere af disse faktorer at arbejde med, ikke færre.

Læs hele rapporten fra Financial Times: “Surge in ransomware hacks deepens divide over whether to pay” (abonnement kan være påkrævet).