Rosnącej liczbie ataków ransomware, których coraz częściej nie da się udaremnić, miały stanąć naprzeciw przepisy uniemożliwiające firmom płacenia okupu i dalszego napędzania takich działań. Te pomysły dziś jawią się już jako trudne do wyegzekwowania i mogące jedynie pogorszyć sytuację.

Dyskusja odnośnie kształtu regulacji toczyła się naturalnie za oceanem. Rozlegały się tam mianowicie coraz bardziej słyszalne głosy za zmuszaniem ofiar do niepłacenia okupów. Zdaniem Steve’a Turnera, analityka Forrestera, który koncentruje się na bezpieczeństwie i ryzyku, postawiłoby to firmy w trudnej sytuacji. Przede wszystkim zaś propozycje nie przewidywały wyjątku dla sytuacji gdyby w grę wchodziło życie ludzkie.

Skutki coraz poważniejsze

Turner wskazał na ataki typu ransomware, które spowodowały upadek krytycznych systemów infrastruktury, takich jak zasilanie i opieka zdrowotna, dotykając takie firmy jak US Colonial Pipeline i instytucje takie jak irlandzka służba zdrowia czy niemiecki szpital uniwersytecki w Duesseldorfie.

Dziś już wiemy, że amerykański operator rurociągu zapłacił prawie 5 milionów dolarów okupu, z czego większość została później odzyskana przez władze. Irlandzki operator służby zdrowia odmówił zapłaty i zużył całe tygodnie walcząc o powrót do – nomen omen - zdrowia po ataku, który dotyczył setek pacjentów. Niezdolność do funkcjonowania szpitala w Duesseldorfie spowodowała z kolei pośrednio śmierć pacjentki, której leczenie zostało opóźnione, ponieważ musiała zostać przekierowana do dalszego szpitala.

Zapłacony okup wzmacnia atakujących

Hamza Siddique, szef działu cyberbezpieczeństwa Capgemini w Azji Południowo-Wschodniej, zauważył, że cyberprzestępcy odniosły tak wielki sukces w wywieraniu krytycznego wpływu na swoje ofiary, że te praktycznie nie mają innych realnych opcji poza zapłatą okupu.

Zapłacenie okupu może być tańszą opcją dla firmy, której brakuje gotówki, niż angażowanie się w żmudną odbudowę firmowych systemów i baz danych w ramach intensywnej pracy w IT. Kiedy indziej ofiary mogą zdecydować się zapłacić okup w nadziei na uniknięcie publicznego ujawnienia poufnych informacji, co może prowadzić w prostej linii do bankructwa lub problemów prawnych.

Siddique zauważył, że zapłacenie okupu nie tylko zachęciło cyberprzestępców do angażowania się w przyszłe ataki ransomware, ale także zapewniło tym grupom fundusze na dalsze działania. Zapytany czy kary powinny zostać nałożone na firmy, które zdecydowały się zapłacić okup, powiedział, że decyzja ta powinna być podjęta zgodnie z strategią cyfryzacyjną kraju i analizą kosztów i korzyści.

Niepłacenie powinno być opcją domyślną ale nie jedyną? Zdania są podzielone

Zdaniem analityka przede wszystkim należy położyć nacisk na niepłacenie, zwłaszcza jeśli wpływ ataku na biznes jest niewielki. Jeśli jednak atak może doprowadzić do bankructwa lub poważnych problemów prawnych organizacje powinny mieć możliwość decydowania, czy chcą zapłacić okup.

Innego zdania jest Kevin Reed z firmy Acronis, który zauważył, że choć w krótkim okresie przepisy zakazujące wypłaty okupu mogą mieć negatywne skutki to w dłuższej perspektywie powinny wywrzeć pozytywny wpływ. W jego opinii cyberprzestępcy są zainteresowani głównie zyskami finansowymi i gdyby napotykali na coraz większe przeszkody w wyłudzaniu pieniędzy, przestaliby to robić.

To może uderzmy w kryptowaluty…

Dalej idzie dyrektor generalny CYFIRMA Kumar Ritesh, który zasugerował, że przepisy powinny skoncentrować się na wirtualnych walutach, ponieważ to one są wykorzystywane do zorganizowania płatności okupu. Giełdy kryptowalut miały by być zobowiązane do dostarczania informacji odpowiednim władzom, aby transakcje lub konta z docelowymi unikalnymi identyfikatorami mogły zostać zablokowane lub zamrożone. Bez platformy handlowej, na której można by sfinalizować transakcję, cyberprzestępcom będzie trudniej wymienić kryptowalutę na pieniądze fiducjarne.

Okup w bonach na święta

Turner zauważa jednak, że istniały już przepisy regulujące legalne platformy handlu kryptowalutami, takie jak Coinbase, które przewidywały m.in. skomplikowane procesy identyfikacji przed dopuszczeniem transakcji. Grupy cyberprzestępców stojące za niedawnymi masowymi atakami ransomware nie były zaś zwykłymi przestępcami i nie obracają kryptowalutami za pośrednictwem zwykłych portfeli cyfrowych. Zazwyczaj posiadają umiejętności potrzebne aby szybko przesuwać środki w kryptowalutach i prać je czyniąc je zdatnymi do użycia w legalnym obrocie. Poza tym zaostrzenie legislacji miałoby dać tylko ten skutek, że cyberprzestępcy po prostu skorzystaliby z alternatywnych trybów płatności.

Atakujący znajdą po prostu inny mechanizm płatności, który nie został zabroniony. Może to być coś tak niewinnego jak karty podarunkowe Walmart o ile tylko nie umożliwia to śledzenia hakerów i umożliwia firmom zapłacenie okupu.