5 Sebab Mengapa Syarikat Anda Tidak Patut Membayar Tebusan Ransomware

Tekanan untuk Membayar: Mengapa Tekanan Itu Sangat Kuat

Kumpulan ransomware moden bukan amatur. Mereka mempunyai pasukan perunding profesional dan menggunakan ancaman membocorkan data di laman kebocoran awam, panggilan terus kepada ketua pegawai eksekutif (CEO) serta kadangkala ancaman swatting (laporan kecemasan palsu supaya polis bersenjata menyerbu rumah sasaran) terhadap pengurusan kanan. Tekanan psikologi ini direka untuk memaksa pembayaran dengan cepat, iaitu sebelum penasihat undang-undang dan pembekal DFIR tiba.

Walau bagaimanapun, keputusan untuk membayar bukan keputusan teknikal. Keputusan ini bersifat strategik dengan implikasi kewangan, undang-undang dan etika. Lima sebab berikut menunjukkan mengapa pembayaran biasanya menambah masalah dan bukan menyelesaikannya.

Sebab 1: Tiada Jaminan Kunci Penyahsulitan Berfungsi

Walaupun kumpulan ransomware mengiklankan 'jaminan' pemulihan, kadar kejayaan sebenarnya jauh daripada sempurna. Laporan industri menunjukkan bahawa sebahagian besar mangsa yang membayar tidak memulihkan 100% data mereka. Sebab teknikalnya pelbagai: alat penyahsulit yang dibekalkan rosak, fail terjejas semasa proses penyulitan, atau kunci yang dijual mengandungi pepijat.

Selain itu, proses penyahsulitan sering terlalu perlahan untuk keperluan perniagaan kerana dilakukan fail demi fail dengan banyak campur tangan manual. Bagi persekitaran yang besar, proses penyahsulitan mengambil masa berhari-hari atau berminggu-minggu, iaitu sama dengan atau lebih lama daripada pemulihan menggunakan sandaran yang baik.

Sebab 2: Menjadi Sasaran Semula

Pembayaran tebusan ialah isyarat yang jelas kepada ekosistem jenayah bahawa syarikat ini boleh dan akan membayar. Akibatnya, mangsa yang membayar mempunyai kebarangkalian yang jauh lebih tinggi untuk diserang semula dalam tempoh 12–18 bulan berikutnya. Serangan itu kadangkala dilakukan oleh kumpulan yang sama dengan menggunakan akses yang dikekalkan, atau oleh kumpulan lain yang mendapat senarai 'sasaran yang membayar' di forum web gelap (dark web).

Tanpa pembasmian yang menyeluruh, akses awal yang digunakan oleh penyerang pertama sering masih berfungsi. Akses berterusan (persistence), seperti cangkerang web (web shell), pintu belakang dan akaun perkhidmatan tersembunyi, mungkin masih wujud walaupun kunci penyahsulitan sudah diterima.

Sebab 3: Implikasi Sekatan Undang-Undang Antarabangsa

Banyak kumpulan ransomware utama dikaitkan dengan entiti atau individu yang disenaraikan di bawah OFAC (Jabatan Perbendaharaan Amerika Syarikat), rejim sekatan EU dan rangka kerja sekatan OFSI di UK. Membayar tebusan kepada entiti yang dikenakan sekatan, walaupun secara tidak langsung melalui broker atau pengadun mata wang kripto (cryptocurrency mixer), boleh dianggap sebagai pelanggaran sekatan.

Bagi syarikat Malaysia yang mempunyai operasi atau hubungan perniagaan dengan Amerika Syarikat, EU atau UK, risiko ini nyata. Bank koresponden boleh menyekat akaun. Pelanggan asing boleh menamatkan kontrak. Penasihat undang-undang antarabangsa wajib dirujuk sebelum sebarang pembayaran.

Sebab 4: Membiayai Ekosistem Jenayah

Setiap pembayaran tebusan menyalurkan dana terus kepada penyelidikan dan pembangunan ekosistem ransomware, iaitu pembangunan perisian hasad baharu, pembelian kerentanan hari sifar (zero-day), pengambilan ahli gabungan (affiliate) dan operasi pengubahan wang haram. Mangsa yang membayar hari ini akan menjadi pembiaya serangan terhadap syarikat lain, termasuk kemungkinan rakan dalam rantaian bekalan anda sendiri.

Dari sudut tanggungjawab korporat, iaitu alam sekitar, sosial dan tadbir urus (ESG), pembayaran tebusan semakin dipersoalkan oleh pelabur, pelanggan dan lembaga pengarah. Beberapa bidang kuasa kini sedang mempertimbangkan larangan terhadap pembayaran tebusan oleh syarikat tertentu, terutamanya pengendali infrastruktur kritikal.

Sebab 5: Tidak Menangani Punca Kerentanan

Pembayaran memberikan kunci penyahsulitan, bukan tampalan. Punca utama serangan, iaitu pancingan data (phishing) yang berjaya, VPN tanpa pengesahan pelbagai faktor (MFA), kerentanan yang tidak ditampal dan kawalan EDR yang lemah, masih ada selepas pembayaran. Tanpa pelaburan dalam pembasmian, pemburuan ancaman, pengerasan sistem dan pemantauan, mangsa yang membayar akan mengekalkan keadaan yang sama yang menyebabkan serangan pertama.

Sebaliknya, syarikat yang memilih jalan tanpa pembayaran terpaksa melabur dalam pemulihan struktur, iaitu sandaran, EDR, pengerasan identiti dan SOC, lalu menjadi lebih kuat. Wang yang sama yang akan digunakan untuk tebusan biasanya dapat membiayai program keselamatan yang matang selama 2–3 tahun.

Bilakah Pembayaran 'Mungkin Terpaksa' Dipertimbangkan?

Terdapat kes terhad yang mungkin memaksa pihak pengurusan mempertimbangkan pembayaran, contohnya ancaman langsung kepada nyawa (sektor kesihatan dengan data pesakit yang kritikal), sandaran yang gagal sepenuhnya, atau kewajipan kontrak yang mengancam kelangsungan perniagaan. Walaupun dalam kes ini, tadbir urus mesti ketat.

Keputusan pembayaran tidak boleh dibuat oleh pasukan IT atau ketua pegawai kewangan (CFO) secara berasingan. Keputusan ini memerlukan kelulusan lembaga pengarah, semakan oleh penasihat undang-undang antarabangsa (untuk menyemak senarai OFAC/EU), penglibatan broker insurans, dan dokumentasi rasmi bagi usaha wajar. Penyertaan pembekal DFIR yang berpengalaman dalam rundingan adalah penting, bukan untuk 'menawar' tetapi untuk mengesahkan bukti hidup (proof of life) dan menguruskan saluran pembayaran dengan selamat.

• Kelulusan lembaga pengarah dengan minit rasmi.
• Semakan saringan sekatan oleh penasihat undang-undang antarabangsa.
• Penglibatan broker insurans dan pembekal DFIR yang berpengalaman.
• Dokumentasi usaha wajar sebagai pertahanan terhadap penyiasatan pengawal selia.