據(jù)勒索軟件協(xié)商公司Coveware的數(shù)據(jù)顯示，2023年第四季度，支付勒索贖金的勒索軟件受害者比例已降至歷史最低，僅為29%。其實早在2021年年中，當(dāng)時的支付率從2019年初的85%下滑至46%，這一趨勢已經(jīng)逐漸明顯。

勒索支付率來源：Coveware

據(jù)Coveware分析，支付勒索金比例持續(xù)下降的原因復(fù)雜多樣，包括企業(yè)和組織更加完善的防范措施，缺乏對網(wǎng)絡(luò)犯罪分子承諾不會泄露被盜數(shù)據(jù)的信任，以及某些地區(qū)明令禁止支付贖金所產(chǎn)生的壓力。

Coveware研究發(fā)現(xiàn)，即便在遭受網(wǎng)絡(luò)攻擊且數(shù)據(jù)被盜的情況下，上一季度的贖金支付率也僅為26%。

不僅支付勒索軟件贖金的受害者數(shù)量減少，實際支付的贖金金額也有所下降。Coveware指出，2023年第四季度的贖金支付平均金額為568705美元，比前一季度下降了33%，而中位數(shù)贖金支付額為20萬美元。

贖金支付金額來源：Coveware

2023年第四季度，受害機構(gòu)的規(guī)模有所下降，扭轉(zhuǎn)了2022年第二季度以來的發(fā)展態(tài)勢。當(dāng)時，由于攻擊者預(yù)見贖金支付率會下降，他們開始轉(zhuǎn)而攻擊規(guī)模更大的公司，以求獲得更高的贖金補償差額。

勒索軟件攻擊目標(biāo)公司的規(guī)模來源：Coveware

禁止支付贖金

除了上述統(tǒng)計數(shù)據(jù)外，Coveware的報告還涉及了禁止支付贖金這一有爭議的話題，以及這些禁令可能對被攻擊的組織和網(wǎng)絡(luò)犯罪社區(qū)產(chǎn)生的影響。從理論上講，禁令聽起來是個好主意，但在實際操作中并非那么簡單。

Coveware表示，如果美國或其他頻繁遭受攻擊的國家實施了全國性的禁令，遭受攻擊的公司很可能會停止向當(dāng)局報告這些事件，并向不正規(guī)的服務(wù)提供商尋求幫助。

如果出臺此類法律，一夜之間將形成一個龐大的非法市場，所有受害者與執(zhí)法機構(gòu)合作取得的進展都將被逆轉(zhuǎn)，這無疑是給自己挖了一個大坑。

Coveware的報告指出：許多受害者會迅速評估風(fēng)險（公司遭受的重大損失與可能面臨的罰款及處罰），然后轉(zhuǎn)向非法市場中尋找解決方案。有些公司仍然會選擇上報以確保安全，但任何曾經(jīng)考慮過支付或決定支付贖金的受害者都會選擇保持沉默，因為一旦上報，那就相當(dāng)于承認(rèn)了自己的犯罪行為。

Coveware建議加倍強化一些現(xiàn)有機制和舉措，加大勒索軟件從中獲利的難度，包括：

• 加強對勒索支付的報告框架和盡責(zé)調(diào)查，鼓勵進行詳細披露和建立決策框架。
• 提供積極報告和合規(guī)的安全保障，并結(jié)合強制性報告要求，促進與執(zhí)法部門的合作。
• 對不披露事件的行為處以重罰，同時避免對首席信息安全官（CISOs）個人責(zé)任的追究，以維護安全人才隊伍。
• 強調(diào)與執(zhí)法部門的長期合作，并明確長期的報告義務(wù)，以便有效進行調(diào)查。
• 集中采取戰(zhàn)略措施，降低勒索支付的吸引力和便利性，進而削弱勒索軟件作為盈利性攻擊手段的可行性。

遺憾的是，步入2024年，勒索軟件依然是全球網(wǎng)絡(luò)安全領(lǐng)域的一大挑戰(zhàn)，現(xiàn)有的解決方案還不足以消滅它們。不過，贖金支付率下降趨勢已然證明通過協(xié)同努力來對抗這一問題是有效的，這也標(biāo)志著局勢在朝著正確的方向發(fā)展。