Fizessünk váltságdíjat a zsarolóknak, vagy inkább álljunk ellen? Ez a kérdés sokakat foglalkoztat, hiszen a helyzet rendkívül összetett. A váltságdíj kifizetése egyfajta megoldásnak tűnhet, de hosszú távon csak még inkább bátoríthatja a bűnözőket. Mi a he

Egy brit szabályozási tervezet kapcsán ismét fellángolt a vita a ransomware-támadásokért fizetett váltságdíjak körül.

A brit kormány határozott lépéseket tervez a zsarolókkal szemben. Az utóbbi időszakban tapasztalt súlyos kibertámadások, amelyek számos brit vállalatot sújtottak, arra ösztönözték a hatóságokat, hogy megakadályozzák a kritikus nemzeti infrastruktúra üzemeltetőit abban, hogy váltságdíjat fizessenek a bűnözőknek. Az események láncolatában talán a Jaguar Land Rover ellen indított ransomware-támadás volt a végső csepp, amelynek következtében az autógyártó csak állami hitel segítségével tudta átvészelni a nehéz időszakot.

A javaslatot kidolgozó belügyminisztérium szerint elrettenti a kiberbűnözőket, ha egyértelmű, hogy a megtámadott szervezetek nem fizethetnek. Ilyen merev szabályt a világban sehol sem alkalmaznak. A legtöbb országban csak ajánlást adnak ki, hogy senki se fizessen, mert azzal a kiberbűnözőket és az újabb támadásokat támogatja. Esetleg más jogcímen (pl. a terrorszervezetek finanszírozásának tilalma) vennék elő a fizető szervezeteket. Az amerikai pénzügyminisztérium 2020-ban jogi lépések helyezett kilátásba a váltságdíjat fizetőkkel szemben, ám egy évvel később, amikor elesett az USA egyik legfontosabb olajvezeték-hálózata, a Colonial Pipeline, már a hatóságok is szemérmesen hallgattak, hogy fizettek-e.

A londoni kormány szerint azonban minden eszközzel javítani kell az ország vállalkozásainak az ellenálló képességét, mert az ellátási láncokon és az alapvető szolgáltatásokon keresztül az egész gazdaságon végigsöpörhet egy komolyabb támadás.

Szakértők figyelmeztetnek: ez súlyos következményekkel járhat.

Az elmélet jó, legalábbis jól hangzik, de a gyakorlat más, vélik a szakértők. Ha a váltságdíjfizetést teljes mértékben illegálisnak minősítik, akkor a megtámadott vállalatok a legértékesebb eszközüket veszítik el, amikor tárgyalásos úton próbálják visszaszerezni érzékeny adataikat, és akarják helyreállítani az alapvető szolgáltatásokat. Azaz egy talán megoldható helyzet katasztrófába torkollhat.

Ha egy kritikus infrastruktúrát üzemeltető cégnél a működéséhez szükséges összes biztonsági mentési rendszer meghibásodik, a cégvezetés két rossz közül választhat: vagy megszegi a törvényt, vagy végignézik, ahogy az alapvető szolgáltatások összeomlanak, ecsetelte a helyzetet egy jogász a Financial Timesnak.

Bár a kiberbiztonsági szakértők általánosan azt vallják, hogy a váltságdíjak kifizetése kerülendő, a brit kormány szigorú irányelvei nem mindenki tetszését nyerik el. A bűnözők számára ugyanis a jogszerűség másodlagos kérdés, ha a potenciális nyereség elég vonzó. Amennyiben a váltságdíj elmarad, hajlamosak fokozni a támadások erejét, és ha nem kapják meg, amit akarnak, a megszerzett információkat értékesítik a feketepiacon. Nem meglepő, hogy 2024-ben a cégek 49%-a hajlandó volt kifizetni a váltságdíjat az adataik visszaszerzéséért (a Sophos 2025-ös Ransomware-jelentése alapján), és az is figyelemre méltó, hogy a kifizetők aránya az elmúlt négy-öt évben szinte változatlan maradt.

Mit mondanak az érintettek?

A javaslat kidolgozását megelőzően egy nyilvános konzultációt tartottak, mely során a belügy több mint 270 véleményt gyűjtött össze. Ezen észrevételek közel háromnegyede a teljes tilalom bevezetését támogatta, amely kizárólag a kritikus nemzeti infrastruktúrára, mint például repülőterekre, távközlési vállalatokra, bankokra és közműszolgáltatókra vonatkozna.

De nem mindenki osztozik ebben az optimizmusban. Néhány vállalat már fontolgatja, hogy áthelyezi brit leányvállalatait, miközben alternatív megoldásokat keres, hogy elkerülje a szabályozási kereteket.

Mások nem látják ennyire súlyosnak a helyzetet mondván, fontos lenne valahogy csökkenteni annak a lehetőségét, hogy a támadók pénzhez jussanak. A brit kormány jó irányban keresgéli a megoldást, de egy ilyen előírás csak akkor lehet hatékony, ha olyan szélesebb körű intézkedéscsomag részeként alkalmazzák, amely egyúttal erősíti a szervezetek ellenálló képességét. Ám még a javaslatot támogató szakértők is figyelmeztetnek: biztosítani kell, hogy a szabály ne sújtsa a vétlen áldozatokat.