רוב ההדבקות בתוכנות כופר בחברות ומוסדות אירופיים אינם מדווחים לרשויות. לא ידוע גם כמה קורבנות נדבקים והאם הם משלמים את הכופר. זה יסבך את הגישה לתוכנת כופר.
Enisa, הסוכנות לאבטחת סייבר של האיחוד האירופי, כותבת בדו"ח שיש לה תובנות מועטות לגבי נפגעי תוכנות כופר. לצורך חקירתה, בחנה הסוכנות 623 תקריות הן באיחוד האירופי והן בבריטניה ובארצות הברית שהתרחשו בשנה האחרונה. בסך הכל נגנבו עשרה טרה-בייט של נתונים. ב-58 אחוז מהמקרים נגנבו נתונים גם מעובדים. Enisa השתמשה בדיווחים מחברות וממשלות, בתקשורת ובפוסטים בבלוגים ובמקרים מסוימים בהודעות ברשת האפלה.
מסקנה בולטת בדו"ח היא שעבור 94.2% מכלל התקריות, ENISA לא הצליחה לקבוע אם החברה שילמה את הכופר. ב-37.88 אחוז מהמקרים שותפו מאוחר יותר נתונים באינטרנט שנגנבו במהלך התקיפה. "מכאן אנו יכולים להסיק ש-61.12 אחוזים מכלל החברות הגיעו להסכמה עם התוקפים או מצאו פתרון אחר", כותבים החוקרים. במקרה של הדבקות בתוכנת כופר, זה הפך לנורמה שתוקפים מאיימים גם בפרסום נתונים גנובים, כאמצעי לחץ נוסף על הקורבן. זה קורה ברוב המוחלט של המקרים.
החוקרים אומרים גם שמספר המקרים שנחקרו הוא "רק קצה הקרחון". במציאות, מספר ההדבקות בתוכנת כופר יהיה הרבה יותר גבוה. לטענת החוקרים, קשה לקבוע זאת מכיוון שקורבנות רבים אינם מפרסמים את התקריות שלהם ברבים או אינם מדווחים עליהם לרשויות.
זה גם מקשה על מחקר נוסף על תוכנות כופר, אומר Enisa. במקרים רבים, הקורבנות אינם מסוגלים או רוצים לומר כיצד התוקפים נכנסו לראשונה. בשילוב עם העובדה שתשלומי כופר מבוצעים לרוב בסתר, "גישה זו לא עוזרת במלחמה בתוכנות כופר, להיפך", כותבים החוקרים.
ENisa דוגלת בכללים טובים יותר המחייבים דיווח על אירועי סייבר. זה יתאפשר יותר במסגרת הוראת אבטחת הרשת והמידע או ₪2. מדובר ברגולציה אירופאית שמתגבשת בימים אלה ותחייב חברות במגזרים מסוימים לדווח על אירועי סייבר.