Att betala eller inte betala: DriveSavers ger sin syn efter att ha citerats i Financial Times

Den brittiska regeringen driver planer på att helt förbjuda lösensummor för offentliga organ och aktörer inom kritisk nationell infrastruktur, däribland NHS, kommuner och skolor. Det är ett kraftfullt svar på ett allvarligt problem. De flesta offer för utpressningstrojaner är små och medelstora företag, inte aktörer inom kritisk infrastruktur. Ett förbud riktat mot aktörer inom kritisk infrastruktur träffar därför bara en liten del av alla attacker, och kan därför i sig göra litet för att minska den totala omfattningen av utpressningstrojan-brottslighet.

Det finns redan ett testfall för detta. North Carolina förbjöd lösensummor för myndigheter 2021, och Florida följde efter 2022. Inget av förbuden verkar ha avskräckt den brottsliga aktiviteten nämnvärt i någon av delstaterna. Haydn Brooks, vd för Risk Ledger, lyfte fram en relaterad poäng i samma artikel: om offentliga organ inte kan betala kommer kriminella grupper sannolikt att rikta in sig på mindre reglerade mål inom den privata sektorn, och försäkringsbolag kan svara genom att helt utesluta ersättningar för lösensummor, vilket i sin tur driver upp premierna.

Den juridiska bilden ser annorlunda ut på andra håll. Storbritannien, Australien och andra jurisdiktioner där DriveSavers är verksamt överväger eller tillämpar redan egna restriktioner, så organisationer utanför USA bör inte anta att amerikanska regler gäller för dem.

De ärenden DriveSavers arbetar med har en struktur som inte var lika genomgående för några år sedan. Innan angriparna krypterar system skadar eller raderar de nu backup-infrastrukturen: Veeam-backuparkiv, Hyper-V-värdar och VMware ESXi-värdar är typiska exempel på detta. Ungefär hälften av de ransomware-dataåterställningsärenden som DriveSavers har hanterat under de senaste två åren involverade angripare som specifikt riktade in sig på Veeam-backuper innan de rörde de primära servrarna. Veeam är den dominerande backupplattformen för virtualiserade miljöer, med omkring 550 000 kunder världen över, och många IT-team inser inte att raderade eller skadade Veeam-backupfiler ofta ändå kan återställas med de egenutvecklade återställningsverktyg och -tekniker som DriveSavers har tagit fram.

Dekrypteringsverktyg som tillhandahålls av angriparna är också opålitliga, särskilt vid stora filer och databaser. Organisationer som betalar en lösensumma för att få tillgång till ett dekrypteringsverktyg behöver ofta ändå professionell dataåterställning efteråt för att få tillbaka en komplett uppsättning användbara filer, eftersom själva dekrypteringsprocessen lämnar data skadad. Och oföränderliga (immutable) säkerhetskopior, även om de verkligen är värda att investera i, är inte felsäkra. DriveSavers har återställt kritisk data i fall där en backupserver som marknadsförts som oföränderlig hade raderats helt, eftersom programvaran som hanterade denna oföränderlighet själv hade blivit komprometterad.

I ett nyligen genomfört uppdrag hjälpte DriveSavers ett försäkringsbolag att undvika ett lösensumskrav som beskrevs ligga på flera miljoner dollar, genom att återställa all nödvändig driftsdata från raderade säkerhetskopior. De nödvändiga dataåterställningstjänsterna kostade bara en bråkdel av det beloppet. Detta är en del av en bredare förändring: försäkringsbolag frågar nu rutinmässigt om dataåterställning är möjlig innan de godkänner en lösensumbetalning, vilket inte var en standardfråga för några år sedan.

Att betala en lösensumma garanterar inte att angriparna lämnar över en fungerande dekrypteringsnyckel, att dina data återställs intakta, eller att stulen data inte ändå dyker upp någon annanstans senare.

Det motsatta påståendet kräver samma försiktighet, och det är värdefullt att skilja mellan två begrepp:

Några av de andra personerna som citerades tillsammans med Maus lyfte fram en poäng som förtjänar mer uppmärksamhet än själva förbudsdebatten. Gavin Millard, VP of product på Tenable, uttryckte det rakt på sak: den mer relevanta frågan är hur man gör utpressningstrojaner mindre lönsamma redan från början. De flesta attacker utnyttjar fortfarande kända sårbarheter och exponerade system, vilket gör att exponeringshantering ger mer långsiktig nytta än någon betalningspolicy. Spencer Young på Delinea lyfte fram en relaterad poäng om åtkomstkontroller: att begränsa stående behörigheter så att en enda stulen inloggningsuppgift inte kan röra sig fritt i ett nätverk minskar skadan även när en attack lyckas.

Vad gäller beredskap tenderar de organisationer som återhämtar sig snabbast att redan i förväg ha dokumenterat var deras säkerhetskopior finns, vilka system som är kritiska och vem man ska kontakta, innan en attack ens inträffar. Den kontaktlistan bör förvaras separat från de primära servrarna så att den inte krypteras tillsammans med allt annat, och den bör inkludera juridiskt biträde, cyberförsäkringsbolaget och en dataåterställningstjänst.

Att lösa dilemmat kring huruvida man ska betala ett lösensumskrav är aldrig enkelt. Behandla det som ett beslut med flera avgörande faktorer, inte som ett enda moraliskt val: hur känsliga uppgifterna är, om säkerhetskopiorna överlevde, vem den specifika angriparen är, hur den juridiska exponeringen ser ut, och hur realistisk dataåterställningen faktiskt är. Ta in extern hjälp tidigt, innan en lösensumsfrist tvingar fram ett beslut, så att du har fler av dessa faktorer att arbeta med, inte färre.

Läs hela rapporten från Financial Times: ”Surge in ransomware hacks deepens divide over whether to pay” (prenumeration kan krävas).