Τι θα σκεφτόσασταν εάν στην απόδειξη για την αγορά ενός προϊόντος που κάνατε βλέπατε ότι η εταιρεία χρηματοδοτεί κατά κάποιον τρόπο το κυβερνοέγκλημα με τον εξής τρόπο: προϊόν 100 ευρώ, φόρος 10 ευρώ, δωρεά στους κυβερνοεγκληματίες 2,50 ευρώ; Πιθανότατα θα αμφισβητούσατε τη χρέωση και θα αντιδρούσατε. Αυτό μάλλον δεν είναι ένα τόσο μακρινό μέλλον…
Σύμφωνα με τον Tony Anscombe, τον η απάντηση στο ερώτημα είναι: “μάλλον ναι”.
Στο άρθρο του, ο Tony Anscombe, επικεφαλής για την ενημέρωση κοινού σε θέματα ασφάλειας στην παγκόσμια εταιρεία κυβερνοασφάλειας ESET, μιλά για το ποιος πληρώνει τελικά τα λύτρα όταν κυβερνοεγκληματίες που έκλεψαν ή μπλόκαραν πολύτιμα στοιχεία και δεδομένα από τα συστήματα των επιχειρήσεων, τις εκβιάζουν και τελικά οι επιχειρήσεις ενδίδουν και πληρώνουν το ποσό.
Αυτές οι επιθέσεις λέγονται επιθέσεις τύπου ransomware, όπου “ransom” σημαίνει “λύτρα”.
Φανταστείτε μόνο για μια στιγμή, λέει ο Anscombe, ότι πηγαίνετε στο κατάστημα για να αγοράσετε κάτι για 100 ευρώ. Ανάλογα με το πού βρίσκεστε στον κόσμο, ο φόρος επί των πωλήσεων μπορεί να χρειαστεί να προστεθεί στο ταμείο και η απόδειξη αγοράς σας θα εμφανίζει 100 ευρώ για τα αγαθά και ίσως συν 10 ευρώ για τον φόρο, σύνολο 110 ευρώ.
Η εταιρεία που πουλάει το προϊόν πρέπει να έχει κέρδος και να καλύψει τα έξοδά της, τα οποία μπορεί να περιλαμβάνουν αμοιβές προσωπικού, έξοδα για τις εγκαταστάσεις, την ασφάλιση, τη μεταφορά και πολλά άλλα που σχετίζονται με τη λειτουργία της.
Ενσωμάτωση του κόστους κυβερνοεπιθέσεων
Όταν, όμως, μια εταιρεία έχει πέσει θύμα επίθεσης ransomware και έχει αποφασίσει να πληρώσει λύτρα στους κυβερνοεγκληματίες για να ανακτήσει την πρόσβαση στα συστήματα της ή για να μη διαρρεύσουν τα δεδομένα δημόσια ή για να μην πουληθούν τα δεδομένα της στο dark web, αυτό θεωρείται κόστος επιχειρηματικής δραστηριότητας και είναι ένα κόστος που θα πρέπει να ενσωματωθεί στην τελική τιμή του προϊόντος ή των υπηρεσιών της που πληρώνεται από τους πελάτες.
Τι θα σκεφτόσασταν, λοιπόν, εάν στην απόδειξη για την αγορά που κάνατε βλέπατε ότι η εταιρεία έχει μετακυλύσει το κόστος από τις κυβερνοεπιθέσεις με λύτρα;
Βέβαια, πιθανά οι εταιρείες να απαντούσαν: “Δεν πειράζει, είμαστε ασφαλισμένοι για κινδύνους κυβερνοασφάλειας και η ασφαλιστική μας θα πληρώσει το μεγαλύτερο μέρος των λύτρων”. Αυτό μπορεί κάλλιστα να ισχύει, αλλά η εταιρεία πρέπει να πληρώσει την ασφαλιστική εταιρεία που εργάζεται με βάση την πιθανότητα κινδύνου όταν χρεώνει ασφάλιστρο.
Εάν, δηλαδή, οι ασφαλιστικές εταιρείες ασφαλίζουν 10 εταιρείες και από αυτές η μία στις 10 πέφτει θύμα επίθεσης ransomware, τότε η απόδειξη από μία από αυτές τις 10 εταιρείες θα δείχνει τη συναλλαγή των 100 ευρώ, 10 ευρώ φόρο, συν μια δωρεά 2,5 ευρώ στους κυβερνοεγκληματίες, που καταβλήθηκε μέσω της ασφαλιστικής εταιρείας. Τα χρήματα για την πληρωμή των λύτρων προέρχονται τελικά από εσάς, τον καταναλωτή.
Να πληρώνονται εντέλει τα λύτρα;
Σύμφωνα με άρθρο του The Hill, απαντώντας σε ερώτηση της γερουσιαστή Mazie Hirono των ΗΠΑ, ο βοηθός διευθυντή στο τμήμα κυβερνοεγκλήματος του FBI, Bryan Vorndran, δήλωσε ότι “γνώμη μας είναι ότι η λύση δεν είναι να απαγορεύσουμε στις επιχειρήσεις που πέφτουν θύμα ransomware να πληρώνουν τα λύτρα”. Γιατί πιθανά, εκείνες θα πληρώσουν τελικά τα λύτρα κρυφά χωρίς να αναφέρουν στις αρχές το γεγονός της κυβερνοεπίθεσης. Προφανώς για αυτό και η Επιτροπή Δικαιοσύνης της Γερουσίας φαίνεται να προτείνει ως λύση το να ενθαρρύνονται οι επιχειρήσεις να αναφέρουν τέτοιες επιθέσεις στις Αρχές και όχι να τους επιβληθεί η απαγόρευση της πληρωμής των λύτρων.
Υπάρχουν πολλά ερωτήματα γύρω από το συγκεκριμένο θέμα, και ένα είναι το βέβαιο: η διαμάχη σχετικά με το αν θα πρέπει να πληρώνουμε ή όχι τις απαιτήσεις για λύτρα για επιθέσεις τύπου ransomware σε καμία περίπτωση δεν έχει ολοκληρωθεί. Αυτό είναι βέβαια θετικό – γιατί με τη συζήτηση και τις διαφορετικές απόψεις θα προκύψει ένα πιο ασφαλές συμπέρασμα.
Και μέχρι τότε, όμως, είναι πιθανό εμείς οι καταναλωτές να δούμε τις τιμές των προϊόντων και των υπηρεσιών να αυξάνονται προκειμένου οι εταιρείες να συνεχίσουν να πληρώνουν λύτρα στους εκβιαστές, είτε απευθείας είτε μέσω των ασφαλιστικών εταιρειών τους.
