ევროპულ კომპანიებსა და ინსტიტუტებზე გამოსასყიდი პროგრამების ინფექციების უმეტესობა არ ეცნობება ხელისუფლებას. ასევე უცნობია რამდენი მსხვერპლი ინფიცირდება და იხდის თუ არა გამოსასყიდს. ეს გაართულებს გამოსასყიდის მიდგომას.
Enisa, ევროკავშირის კიბერუსაფრთხოების სააგენტო, ანგარიშში წერს, რომ მას ნაკლებად აქვს ინფორმაცია გამოსასყიდის მსხვერპლთა შესახებ. გამოძიებისთვის სააგენტომ შეისწავლა 623 ინციდენტი როგორც ევროკავშირში, ასევე გაერთიანებულ სამეფოში და შეერთებულ შტატებში, რომლებიც მოხდა გასულ წელს. სულ მოიპარეს ათი ტერაბაიტი მონაცემები. შემთხვევების 58 პროცენტში თანამშრომლების მონაცემებიც მოიპარეს. Enisa იყენებდა კომპანიებისა და მთავრობების ანგარიშებს, მედიისა და ბლოგების პოსტებს და ზოგიერთ შემთხვევაში შეტყობინებებს ბნელ ქსელში.
ანგარიშში შესამჩნევი დასკვნა არის ის, რომ ყველა ინციდენტის 94.2 პროცენტისთვის ENISA-მ ვერ დაადგინა გადაიხადა თუ არა კომპანია გამოსასყიდი. შემთხვევების 37.88 პროცენტში მოგვიანებით ინტერნეტში გავრცელდა მონაცემები, რომლებიც მოიპარეს თავდასხმის დროს. „აქედან შეგვიძლია დავასკვნათ, რომ ყველა კომპანიის 61.12 პროცენტი მივიდა შეთანხმებულ თავდამსხმელებთან ან იპოვა სხვა გამოსავალი“, - წერენ მკვლევარები. გამოსასყიდი პროგრამების ინფექციების შემთხვევაში, თავდამსხმელებისთვის ნორმად იქცა მოპარული მონაცემების გასაჯაროებით მუქარა, როგორც მსხვერპლზე ზეწოლის დამატებითი საშუალება. ეს ხდება უმეტეს შემთხვევაში.
მკვლევარები ასევე ამბობენ, რომ შესწავლილი შემთხვევების რაოდენობა „აისბერგის მხოლოდ მწვერვალია“. სინამდვილეში, გამოსასყიდი პროგრამების ინფექციების რიცხვი გაცილებით მეტი იქნებოდა. მკვლევარების აზრით, ამის დადგენა რთულია, რადგან ბევრი მსხვერპლი არ ასაჯაროებს თავის ინციდენტებს ან არ აცნობებს მათ ხელისუფლებას.
ეს ასევე ართულებს გამოსასყიდის პროგრამის შემდგომ კვლევას, ამბობს Enisa. ხშირ შემთხვევაში, დაზარალებულებს არ შეუძლიათ ან არ სურთ თქვან, როგორ შევიდნენ თავდამსხმელები პირველად. იმ ფაქტთან ერთად, რომ გამოსასყიდი პროგრამების გადახდა ხშირად ფარულად ხდება, „ეს მიდგომა არ ეხმარება გამოსასყიდ პროგრამასთან ბრძოლაში, პირიქით“, წერენ მკვლევარები.
ENisa მხარს უჭერს უკეთესი წესების დაცვას, რომლებიც მოითხოვს კიბერ ინციდენტების შესახებ შეტყობინებას. ეს უფრო შესაძლებელი გახდება ქსელისა და ინფორმაციის უსაფრთხოების დირექტივის ან NIS2-ის მიხედვით. ეს არის ევროპული რეგულაცია, რომელიც ამჟამად მუშავდება და რომელიც ავალდებულებს კომპანიებს გარკვეულ სექტორებში შეატყობინოს კიბერ ინციდენტები.