付款與否:DriveSavers 在《金融時報》引述後發表意見

英國政府正推進計劃,擬全面禁止公營機構及國家關鍵基礎設施供應商(包括國民保健署、地方議會及學校)支付贖金。這是對嚴重問題作出的認真回應。然而,大部分勒索軟件受害者都是中小企業,而非關鍵基礎設施營運商。針對關鍵基礎設施營運商的禁令,只涵蓋整體攻擊中的一小部分,因此單靠這項禁令本身,未必能大幅減少勒索軟件犯罪的整體規模。

目前已有一個可供參考的案例。北卡羅來納州於2021年禁止政府機構支付勒索軟件贖金,佛羅里達州則於2022年跟隨實施類似禁令。然而,這兩項禁令似乎都未能對相關州份的犯罪活動起到明顯的阻嚇作用。Risk Ledger行政總裁Haydn Brooks在同一篇報道中提出了一個相關觀點:如果公營機構不能支付贖金,犯罪集團很可能會轉而攻擊監管較寬鬆的私營企業目標,而保險公司則可能因此完全將勒索軟件相關賠償剔除承保範圍,從而導致保費上升。

其他地區的法律狀況則有所不同。英國、澳洲以及DriveSavers業務所及的其他司法管轄區,正在考慮或已經實施各自的限制措施,因此美國以外的機構切勿假設美國的規則同樣適用於自身。

DriveSavers所處理的案例,呈現出一種在幾年前尚未如此普遍的模式。攻擊者在加密系統之前,會先破壞或刪除備份基礎設施,例如Veeam備份存儲庫、Hyper-V主機及VMware ESXi主機,都是典型例子。DriveSavers在過去兩年處理的勒索軟件數據復原案例中,約有一半涉及攻擊者在觸及主要伺服器之前,特別針對Veeam備份下手。Veeam是虛擬化環境中主流的備份平台,全球擁有約55萬名客戶,但許多IT團隊未察覺,已刪除或損毀的Veeam備份文件,往往仍可透過DriveSavers自行研發的專屬復原工具及技術予以復原。

攻擊者提供的解密工具同樣不可靠,尤其是在處理大型文件和數據庫時更是如此。企業支付贖金以取得解密工具後,往往仍需要專業的數據復原服務,才能取回一套完整、可用的文件,原因是解密過程本身就會令數據受損。至於「不可篡改」(immutable)備份,雖然確實值得投資,但也並非萬無一失。DriveSavers曾處理過這樣的案例:一台被標榜為不可篡改的備份伺服器,竟被徹底刪除,原因是管理該不可篡改性的軟件本身已遭入侵。

在最近一項服務案例中,DriveSavers協助一家保險公司避免支付一筆據稱高達數百萬美元的贖金要求,方法是從已刪除的備份中復原所有必要的營運數據。所需的數據復原服務費用,僅是該贖金金額的一小部分。這正反映出一個更廣泛的轉變:保險公司現時普遍會在批准支付贖金之前,先詢問數據是否有可能復原,而這在幾年前並非標準做法。

支付贖金並不能保證攻擊者會交付可正常運作的解密金鑰,也不能保證數據能完好無缺地恢復,更不能保證被盜數據日後不會在其他地方流出。

相反的說法同樣需要謹慎看待,而區分以下兩個概念亦相當重要:

與Maus一同接受訪問的其他人士中,有幾位提出了一個比禁令本身更值得關注的觀點。Tenable產品副總裁Gavin Millard直言:更有意義的問題是,如何從根本上降低勒索軟件的獲利能力。大部分攻擊仍然是利用已知漏洞及暴露在外的系統進行,因此「暴露面管理」相比任何支付政策,更能帶來長遠的成效。Delinea的Spencer Young則就存取控制提出了相關觀點:限制常設權限,確保單一被盜憑證無法在網絡中自由橫向移動,即使攻擊成功,也能大幅減低損害。

在應變準備方面,復原速度最快的機構,通常在攻擊發生之前,已預先記錄好備份的儲存位置、哪些系統屬於關鍵系統,以及應聯絡的對象。這份聯絡清單應保存於主要伺服器以外的地方,以免與其他數據一同被加密,清單內容應包括法律顧問、網絡保險公司,以及數據復原服務供應商。

要解決是否支付勒索軟件贖金這個難題,從來都不簡單。應將此視為涉及多項考量因素的決策,而非單一的道德抉擇:數據的敏感程度、備份是否倖存、具體攻擊者的身份、面臨的法律風險程度,以及數據復原的實際可行性。應盡早尋求外部協助,而非等到贖金限期迫在眉睫才行動,這樣才能掌握更多而非更少的判斷依據。

閱讀《金融時報》全文報道: 「Surge in ransomware hacks deepens divide over whether to pay」(可能需要訂閱方可查閱)。