Расходы на потерю данных растут, даже если не платить выкуп злоумышленникам

Потеря данных, особенно в результате атак программ-вымогателей, всегда обходилась предприятиям дорого. Однако цена, которую приходится платить организациям, растёт не только с точки зрения требуемого киберпреступниками выкупа, но и стоимости расследования атак и судебных исков, которые всё чаще следуют за такими нарушениями.

В своём ежегодном отчёте о реагировании на инциденты, связанные с безопасностью данных, американская юридическая фирма BakerHostetler обнаружила, что количество инцидентов с программами-вымогателями пошло на снижение в начале 2022 года, но к концу года и в начале 2023 года их число снова резко увеличилось.

С этим исследовали связали как более высокие требования вымогателей, так и увеличившиеся итоговые выплаты. В прошлом году самый большой денежный выкуп, который затребовали злоумышленники, составил более 90 миллионов долларов, а самый крупный платеж, на который пошла взломанная компания, превысил 8 миллионов долларов. Оба результата переплюнули показатели 2021 года (60 миллионов долларов и 5,5 миллионов долларов соответственно).

Средний выплаченный выкуп достиг около 600 тысяч долларов в 2022 году по сравнению с 510 тысячами долларов годом ранее, хотя это всё ещё ниже пикового значения в 795 тысяч долларов в разоренном пандемией 2020 году.

В среднем, согласно статистике, около 40 процентов жертв вымогателей платят денежный выкуп. Все эти цифры основаны на более чем 1160 инцидентах безопасности данных, которые расследовали юристы BakerHostetler.

Цифры несколько противоречат данным, которые аналитическая компания Chainalysis опубликовала в январе , когда сообщила, что общая сумма денег, выплаченная вымогательским группировкам, снизилась в прошлом году — с почти 766 миллионов долларов в 2021 году до почти 455 миллионов долларов в прошлом году, в значительной степени из-за потерпевших, отказавшихся платить. Вполне вероятно, что данные Chainalysis не учитывали данные за конец 2022 года, ведь именно в тот период BakerHostetler зафиксировала рост затрат на денежные выкупы.

Национальный центр кибербезопасности Великобритании и Федеральное бюро расследований США ранее публично заявляли, что они не поддерживают выплату выкупа вымогателям. Это, по мнению многих, только побуждает преступников продолжать шантаж. К тому же нет никакого способа наверняка узнать, что злоумышленники удалят похищенные данные и не продадут их кому-нибудь даже несмотря на уплаченный выкуп.

Исследователи BakerHostetler отметили, что организации, усиливающие свою защиту с помощью EDR-решений и резервного копирования данных, существенно сократили свои риски и потенциальные расходы, чего не скажешь о тех компаниях, кто решил не заморачиваться безопасностью, считая, что всё и так в порядке.

А между тем, даже без уплаты выкупа злоумышленникам, существенно подскочила общая стоимость судебных расследований утечек данных. Для 20 крупнейших сетевых вторжений 2022 года средние затраты на расследование выросли на 24 процента: с 445 926 долларов в 2021 году до 550 987 долларов в 2022 году.

Однако сфера деятельности компании тоже оказывает влияние на стоимость услуг. Компании в сфере финансов и страхования, деловых и профессиональных услуг, в сфере розничной торговли, а также ресторанного и гостиничного бизнеса продемонстрировали снижение как средней, так и медианной стоимости расследований. В двух других отраслях — правительстве и энергетике — средние показатели были выше, но медианы ниже. А для медицинских организаций как средняя, так и медианная сумма затрат на судебные расследования — только возросла.

Ещё одним источником оттока финансовых средств являются судебные иски против компаний, которые должны были незамедлительно уведомить граждан о том, что к их данным получили доступ преступники, но по каким-то причинам не сделали этого. Из инцидентов безопасности, рассмотренных BakerHostetler в прошлом году, 494 были связаны с необходимостью отправки таких уведомлений. 42 из них привели к тому, что люди, недовольные похищением своих данных, подали один или несколько исков. Для сравнения, в 2021 году было подано 23 таких иска, почти в половину меньше.