Å betale eller ikke betale: DriveSavers gir sitt syn etter å ha blitt sitert i Financial Times

Den britiske regjeringen jobber videre med planer om å innføre et fullstendig forbud mot å betale løsepenger for offentlige virksomheter og aktører innen kritisk nasjonal infrastruktur, inkludert NHS, lokale myndigheter og skoler. Dette er et alvorlig svar på et alvorlig problem. De fleste ofre for løsepengevirus er små og mellomstore bedrifter, ikke operatører av kritisk infrastruktur. Et forbud rettet mot aktører innen kritisk infrastruktur rammer derfor bare en liten andel av det totale antallet angrep, og vil trolig i seg selv gjøre lite for å redusere det samlede omfanget av løsepengevirus-kriminalitet.

Det finnes allerede en test-case for dette. North Carolina forbød løsepengebetalinger for offentlige etater i 2021, og Florida fulgte etter i 2022. Ingen av forbudene ser ut til å ha hatt en vesentlig avskrekkende effekt på kriminell aktivitet i noen av delstatene. Haydn Brooks, administrerende direktør i Risk Ledger, tok opp et beslektet poeng i samme artikkel: hvis offentlige organer ikke kan betale, vil kriminelle grupper trolig vende seg mot mindre regulerte mål i privat sektor, og forsikringsselskaper kan svare med å utelukke løsepengeutbetalinger helt, noe som igjen vil presse premiene opp.

Det juridiske bildet ser annerledes ut andre steder. Storbritannia, Australia og andre jurisdiksjoner der DriveSavers opererer, vurderer eller håndhever allerede egne restriksjoner, så organisasjoner utenfor USA bør ikke anta at amerikanske regler gjelder for dem.

Sakene DriveSavers arbeider med, har en struktur som ikke var like konsekvent for noen år tilbake. Før angriperne krypterer systemene, skader eller sletter de nå backup-infrastrukturen: Veeam backup-repositorier, Hyper-V-verter og VMware ESXi-verter er gode eksempler på dette. Omtrent halvparten av sakene med datagjenoppretting etter løsepengevirus som DriveSavers har håndtert de siste to årene, involverte angripere som spesifikt gikk etter Veeam-backuper før de rørte de primære serverne. Veeam er den ledende backup-plattformen for virtualiserte miljøer, med rundt 550 000 kunder verden over, og mange IT-team er ikke klar over at slettede eller skadede Veeam-backupfiler ofte likevel kan gjenopprettes med de proprietære gjenopprettingsverktøyene og -teknikkene som DriveSavers har utviklet.

Dekrypteringsverktøy levert av angriperne er også upålitelige, spesielt for store filer og databaser. Organisasjoner som betaler løsepenger for å få et dekrypteringsverktøy, har ofte fortsatt behov for profesjonell datagjenoppretting etterpå for å få et komplett sett med brukbare filer, fordi selve dekrypteringsprosessen etterlater dataene skadet. Og uforanderlige (immutable) sikkerhetskopier er, selv om de virkelig er verdt investeringen, ikke feilsikre. DriveSavers har gjenopprettet kritiske data i tilfeller der en backupserver som ble markedsført som uforanderlig, var blitt slettet fullstendig, fordi programvaren som administrerte denne uforanderligheten selv var blitt kompromittert.

I et nylig oppdrag hjalp DriveSavers et forsikringsselskap med å unngå et løsepengekrav beskrevet som å ligge i millionklassen, ved å gjenopprette alle nødvendige driftsdata fra slettede sikkerhetskopier. De nødvendige datagjenopprettingstjenestene kostet bare en brøkdel av det beløpet. Dette er del av en bredere endring: forsikringsselskaper spør nå rutinemessig om datagjenoppretting er gjennomførbart før de godkjenner en løsepengebetaling, noe som ikke var et standardspørsmål for noen år siden.

Å betale løsepenger garanterer ikke at angriperne overleverer en fungerende dekrypteringsnøkkel, at dataene kommer tilbake intakte, eller at stjålne data ikke likevel dukker opp et annet sted senere.

Den motsatte påstanden krever like stor forsiktighet, og det er nyttig å skille mellom to begreper:

Noen av de andre personene som ble sitert sammen med Maus, tok opp et poeng som fortjener mer oppmerksomhet enn selve debatten om forbudet. Gavin Millard, VP of product hos Tenable, uttrykte det tydelig: det mer nyttige spørsmålet er hvordan man gjør løsepengevirus mindre lønnsomt fra starten av. De fleste angrep utnytter fortsatt kjente sårbarheter og eksponerte systemer, så eksponeringshåndtering gir mer langsiktig nytte enn noen betalingspolicy. Spencer Young hos Delinea tok opp et relatert poeng om tilgangskontroll: å begrense faste tillatelser slik at en enkelt stjålet legitimasjon ikke kan bevege seg fritt gjennom et nettverk, reduserer skaden selv når et angrep lykkes.

Når det gjelder beredskap, har organisasjonene som kommer seg raskest på beina igjen, som regel allerede dokumentert hvor sikkerhetskopiene deres oppbevares, hvilke systemer som er kritiske, og hvem de skal kontakte, før et angrep i det hele tatt skjer. Denne kontaktlisten bør oppbevares atskilt fra de primære serverne, slik at den ikke blir kryptert sammen med alt annet, og den bør inkludere juridisk rådgiver, cyberforsikringsselskapet og en datagjenopprettingstjeneste.

Å løse dilemmaet om hvorvidt man skal betale et løsepengekrav er aldri enkelt. Behandle det som en beslutning basert på flere faktorer, ikke som ett enkelt moralsk valg: hvor sensitive dataene er, om sikkerhetskopiene overlevde, hvem den konkrete angriperen er, hvordan den juridiske eksponeringen ser ut, og hvor realistisk datagjenoppretting faktisk er. Hent inn ekstern hjelp tidlig, før en løsepengefrist tvinger frem en avgjørelse, slik at du har flere av disse faktorene å jobbe med, ikke færre.

Les hele rapporten fra Financial Times: «Surge in ransomware hacks deepens divide over whether to pay» (abonnement kan være nødvendig).