A maioría das infeccións por ransomware en empresas e institucións europeas non se informan ás autoridades. Tamén se descoñece cantas vítimas se infectan e se pagan o rescate. Iso complicaría o enfoque do ransomware.
Enisa, a axencia da Unión Europea para a ciberseguridade, escribe nun informe que ten pouca información sobre as vítimas do ransomware. Para a súa investigación, a axencia analizou 623 incidentes tanto na UE como no Reino Unido e nos Estados Unidos que tiveron lugar o ano pasado. En total, roubáronse dez terabytes de datos. No 58 por cento dos casos, os datos tamén foron roubados aos empregados. Enisa utilizou informes de empresas e gobernos, publicacións de medios e blogs e, nalgúns casos, mensaxes na web escura.
Unha conclusión notable do informe é que para o 94.2 por cento de todos os incidentes, ENISA non puido determinar se a empresa pagou o rescate. No 37.88 por cento dos casos, os datos foron posteriormente compartidos en internet que foron roubados durante o ataque. "A partir diso podemos concluír que o 61.12 por cento de todas as empresas chegaron a un acordo cos atacantes ou atoparon outra solución", escriben os investigadores. No caso de infeccións por ransomware, converteuse na norma que os atacantes tamén ameazan con facer públicos os datos roubados, como un medio adicional de presión sobre a vítima. Isto ocorre na gran maioría dos casos.
Os investigadores tamén din que o número de casos estudados é "só a punta do iceberg". En realidade, o número de infeccións por ransomware sería moito maior. Segundo os investigadores, isto é difícil de determinar porque moitas vítimas non fan públicos os seus incidentes ou non os denuncian ás autoridades.
Isto tamén dificulta máis investigacións sobre ransomware, di Enisa. En moitos casos, as vítimas non poden ou non queren dicir como entraron os atacantes por primeira vez. Combinado co feito de que os pagos por ransomware adoitan realizarse en segredo, "ese enfoque non axuda a loitar contra o ransomware, todo o contrario", escriben os investigadores.
Enisa avoga por mellores regras que obrigan a denunciar os incidentes cibernéticos. Isto será máis posible baixo a Directiva de seguridade da rede e da información ou NIS2. Trátase dunha normativa europea que se está a elaborar actualmente e que obrigará ás empresas de determinados sectores a denunciar as incidencias cibernéticas.