Płacić czy nie płacić: DriveSavers zabiera głos po tym, jak został zacytowany przez Financial Times

Rząd Wielkiej Brytanii posuwa naprzód plany całkowitego zakazu płacenia okupów przez podmioty sektora publicznego oraz operatorów krytycznej infrastruktury krajowej, w tym NHS, samorządy lokalne i szkoły. To poważna odpowiedź na poważny problem. Większość ofiar ransomware to małe i średnie przedsiębiorstwa, a nie operatorzy infrastruktury krytycznej. Zakaz skierowany do operatorów infrastruktury krytycznej obejmuje więc jedynie niewielką część wszystkich ataków, dlatego sam w sobie może niewiele zmienić w ograniczaniu całkowitej skali przestępczości związanej z ransomware.

Istnieje już na to studium przypadku. Karolina Północna zakazała płatności okupu ransomware przez podmioty rządowe w 2021 roku, a Floryda poszła w jej ślady w 2022 roku. Żaden z tych zakazów nie wydaje się istotnie ograniczyć działalności przestępczej w żadnym z tych stanów. Haydn Brooks, dyrektor generalny Risk Ledger, poruszył w tym samym artykule powiązaną kwestię: jeśli podmioty publiczne nie mogą płacić, grupy przestępcze prawdopodobnie skierują się w stronę mniej regulowanych celów w sektorze prywatnym, a ubezpieczyciele mogą zareagować, całkowicie wyłączając wypłaty związane z ransomware, co w efekcie podniesie składki.

Sytuacja prawna wygląda inaczej w innych krajach. Wielka Brytania, Australia i inne jurysdykcje, w których działa DriveSavers, rozważają lub już egzekwują własne ograniczenia, dlatego organizacje spoza USA nie powinny zakładać, że obowiązują je przepisy amerykańskie.

Sprawy, którymi zajmuje się DriveSavers, mają wspólną strukturę, która jeszcze kilka lat temu nie była tak powszechna. Przed zaszyfrowaniem systemów atakujący uszkadzają lub usuwają infrastrukturę tworzenia kopii zapasowych – repozytoria kopii zapasowych Veeam, hosty Hyper-V oraz hosty VMware ESXi są tego doskonałymi przykładami. Około połowa spraw dotyczących odzyskiwania danych po ransomware, którymi DriveSavers zajmował się w ciągu ostatnich dwóch lat, obejmowała ataki wymierzone konkretnie w kopie zapasowe Veeam, zanim doszło do zaatakowania serwerów podstawowych. Veeam jest dominującą platformą do tworzenia kopii zapasowych w środowiskach zwirtualizowanych, z około 550 000 klientów na całym świecie, a wiele zespołów IT nie zdaje sobie sprawy, że usunięte lub uszkodzone pliki kopii zapasowych Veeam często można jeszcze odzyskać za pomocą zastrzeżonych narzędzi i technik odzyskiwania opracowanych przez DriveSavers.

Dekryptory dostarczane przez cyberprzestępców są równie niepewne, szczególnie w przypadku dużych plików i baz danych. Organizacje, które płacą okup w celu uzyskania dekryptora, często i tak wymagają później profesjonalnego odzyskiwania danych, by uzyskać kompletny zestaw użytecznych plików, ponieważ sam proces odszyfrowywania powoduje uszkodzenie danych. Niezmienne (immutable) kopie zapasowe, choć rzeczywiście warte inwestycji, nie są niezawodne. DriveSavers odzyskał krytyczne dane w przypadkach, gdy serwer kopii zapasowych reklamowany jako niezmienny został całkowicie usunięty, ponieważ oprogramowanie zarządzające tą niezmiennością samo zostało przejęte.

W ramach jednego z niedawnych zleceń DriveSavers pomógł ubezpieczycielowi uniknąć żądania okupu opisywanego jako liczącego w milionach dolarów, odzyskując wszystkie niezbędne dane operacyjne z usuniętych kopii zapasowych. Wymagane usługi odzyskiwania danych kosztowały jedynie niewielki ułamek tej sumy. To część szerszej zmiany: ubezpieczyciele obecnie rutynowo pytają, czy odzyskanie danych jest możliwe, zanim zatwierdzą zapłatę okupu, co jeszcze kilka lat temu nie było standardowym pytaniem.

Zapłacenie okupu nie daje gwarancji, że atakujący przekażą działający klucz deszyfrujący, że dane zostaną odzyskane w stanie nienaruszonym, ani że skradzione dane i tak nie ujawnią się gdzieś później.

Twierdzenie odwrotne wymaga równie dużej ostrożności, przy czym warto rozróżnić dwa pojęcia:

Kilka innych osób cytowanych obok Mausa poruszyło kwestię, która zasługuje na więcej uwagi niż sama debata na temat zakazu. Gavin Millard, wiceprezes do spraw produktu w Tenable, ujął to jasno: bardziej pomocnym pytaniem jest to, jak sprawić, by ransomware było od początku mniej opłacalne. Większość atakow wciąż wykorzystuje znane podatności i systemy narażone na ryzyko, dlatego zarządzanie ekspozycją przynosi więcej długoterminowych korzyści niż jakakolwiek polityka dotycząca płatności. Spencer Young z Delinea poruszył powiązany temat dotyczący kontroli dostępu: ograniczenie stałych uprawnień, aby jedno wykradzione dane uwierzytelniające nie mogło swobodnie przemieszczać się w sieci, zmniejsza szkody nawet wtedy, gdy atak się powiedzie.

Jeśli chodzi o przygotowanie, organizacje, które odzyskują sprawność najszybciej, zazwyczaj już wcześniej udokumentowały, gdzie przechowywane są ich kopie zapasowe, które systemy są krytyczne oraz z kim się skontaktować, zanim jeszcze dojdzie do ataku. Ta lista kontaktów powinna być przechowywana oddzielnie od serwerów podstawowych, aby nie została zaszyfrowana razem z resztą danych, i powinna obejmować doradcę prawnego, ubezpieczyciela cybernetycznego oraz usługę odzyskiwania danych.

Rozwiązanie dylematu, czy zapłacić żądanie okupu za ransomware, nigdy nie jest proste. Należy traktować to jako decyzję opartą na wielu czynnikach, a nie jako pojedynczy wybór moralny: jak wrażliwe są dane, czy kopie zapasowe przetrwały, kim dokładnie jest atakujący, jak wygląda ekspozycja prawna oraz jak realne jest faktycznie odzyskanie danych. Warto zaangażować zewnętrzną pomoc wcześnie, zanim termin okupu wymusi decyzję, aby dysponować większą liczbą tych czynników, a nie mniejszą.

Przeczytaj pełny raport Financial Times: „Surge in ransomware hacks deepens divide over whether to pay” (może być wymagana subskrypcja).