Oporavak od ransomwarea postao prijevara

Američki tužitelji optužili su Zohara Pinhasija, vlasnika tvrtke MonsterCloud za oporavak od ransomwarea, da je klijentima lažno obećavao dešifriranje bez plaćanja kriminalaca, a zatim potajno pregovarao i plaćao otkupninu. Prema optužnici, klijentima je naplatio više od 19 milijuna dolara, dok je napadačima isplatio više od osam milijuna. Pinhasi je izveden pred sud po dvije točke žičane prijevare i jednoj točki udruživanja radi žičane prijevare.

MonsterCloud se predstavljao kao načelna alternativa plaćanju otkupnine i tvrdio da raspolaže vlasničkim alatima te naprednim tehnikama dešifriranja. Tužitelji navode da posebna tehnologija nije postojala. Tvrtka bi kontaktirala kriminalce, kupila ključ i njime pokušala vratiti datoteke, a klijentu naplatila znatno veći iznos. U jednom opisanom slučaju plaćeno je približno 8.200 dolara, dok je račun žrtvi iznosio oko 150.000 dolara.

Optužnica nije presuda i navodi tek moraju biti dokazani. Postupak vodi savezni sud u južnom okrugu Floride. Ako bude osuđen, okrivljeniku prijeti do 20 godina zatvora po svakoj točki. Za tržište kibernetičkih usluga važan je obrazac koji slučaj otvara: žrtva pod pritiskom traži pomoć u roku od nekoliko sati, teško provjerava ponuđača i često ne može razlikovati stvarno dešifriranje od ključa kupljenog od napadača.

Plaćanje otkupnine ne jamči potpuni povrat podataka niti uklanjanje napadača iz mreže. Kriminalac može poslati neispravan ključ, zadržati kopiju podataka ili ponovno prodati pristup. Ako posrednik samo kupi ključ i obnovi datoteke, a ne pronađe početnu točku, kompromitirane vjerodajnice i skriveni alat, ista organizacija može ponovno biti napadnuta. Oporavak zato mora uključiti forenziku i zatvaranje pristupa, ne samo pokretanje dekriptora.

Klijent pri angažiranju treba ugovorom zahtijevati potpunu transparentnost o pregovorima i toku novca. Svaka uplata trećoj strani mora imati prethodno pisano odobrenje, odvojenu stavku i dokaz o primatelju u granicama koje dopušta istraga. Fiksna ili unaprijed objašnjena naknada smanjuje poticaj da posrednik zaradi na razlici između otkupnine i računa.

Važna je i provjera sankcija. Plaćanje skupini ili pojedincu na listi sankcioniranih može stvoriti pravni problem čak i kada je cilj vratiti poslovanje. Specijalizirani pravni savjetnik, osiguravatelj i nadležna tijela trebaju biti uključeni prije transakcije. Posrednik koji skriva stvarni način oporavka onemogućuje klijentu da procijeni taj rizik i pravilno prijavi incident.

Tvrtka za oporavak ne bi smjela sama kontrolirati cijeli proces. Forenzički tim utvrđuje opseg i ulaznu točku, pravni tim procjenjuje obveze, uprava donosi odluku, a financije provjeravaju uplatu. Razdvajanje uloga stvara trag i smanjuje mogućnost da jedna osoba istodobno pregovara, određuje cijenu, plaća kriminalca i klijentu prikazuje drugačiju priču.

Osiguravatelji također trebaju provjeravati mrežu dobavljača. Uvrštavanje tvrtke na popis preporučenih izvođača može žrtvi izgledati kao jamstvo kvalitete. Potrebne su provjere vlasništva, prethodnih slučajeva, politike plaćanja i tehničkog osoblja koje stvarno izvodi posao. Naknadni pregled slučajnog uzorka računa može otkriti neobjašnjive razlike između troška pregovora i ukupne naknade.

Organizacija prije napada može smanjiti ovisnost o kriznom posredniku. Izvanmrežne i nepromjenjive sigurnosne kopije, provjera vraćanja, popis kritičnih sustava i unaprijed ugovoreni odgovor daju više vremena za odluku. Ako oporavak iz kopije traje poznato razdoblje, uprava može usporediti gubitak prekida s rizikom plaćanja. Bez vježbe, procjena se u krizi temelji na obećanju ponuđača.

FBI nastavlja istragu, a sud će odlučivati o navodima i odgovornosti. Za pogođene kompanije neposredna pouka nije čekati ishod, nego ugovoriti obvezno otkrivanje svake komunikacije i uplate napadaču te neovisnu potvrdu uklanjanja prijetnje. Usluga oporavka završava tek kada su sustavi sigurno obnovljeni i ulazna točka zatvorena, a ne kada je kupljeni ključ otključao datoteke.