勒索病毒：該不該付款了事？

針對可能的勒索病毒攻擊，全球各地的組織必須制定一套因應勒索病毒的付款政策。

在之前幾篇文章中，我們討論過防禦以及從勒索病毒攻擊復原的方法。但也有許多客戶問到，如果我們考慮付款呢？這是可行的選項嗎？有什麼風險嗎？我們是否必須向監管機關、股東或大眾揭露？我們應該如何為這類決策進行準備？儘管安永不建議組織支付贖金，我們仍須承認確實存在此一選項。因此，我們針對該議題制定了這份簡要說明。但請注意，若遭到勒索病毒攻擊，在進行任何最終決策前，應先尋求法律諮詢、網路保險承保單位的建議、執法單位的意見，以及專業資訊安全專家的建議，以便採取適當行動。

勒索病毒是什麼？

勒索病毒是一種網路攻擊發動者用於封鎖系統或資料存取或使用的惡意軟體。該網路攻擊發動者綁架系統或資料，直到支付贖金。威脅發動者在取得網路的存取權後，他們將勒索病毒植入共享儲存硬碟與其他可進入的系統。若他們的要求未獲滿足，系統或加密資料會被持續封鎖，資料甚至可能被刪除。這些威脅發動者/團體近來的新興手法是滲透敏感資料，並威脅若不支付贖金，就會公開這些資料，進一步勒索受到攻擊的公司。

除了平常的IT基礎設施保護，我應該如何為勒索病毒事件進行準備？

• 考慮購買網路安全與營運中斷保險。
• 設置應對勒索病毒事件專業的常設網路安全應變小組。
• 與內部或外部法律顧問以及網路安全保險承保單位進行磋商，針對贖金支付的選項建立企業政策（與合法性）。

• 建立勒索病毒攻擊事件聯絡人清單，並確認擁有最新執法單位、外部法律顧問、保險承保單位、監管單位、投資人關係團隊等聯絡資訊。此應屬事故應變計畫的一部分，且應經常演習、檢討與更新該計畫。
• 高階管理層的「桌上模擬演習」（TTX），針對付款或不付款的決策，制定時機、方法與條件等詳細規定有助於因應處理。在演習中，您創造類似的勒索病毒事故情況，然後針對事件發生時所需的決策進行壓力測試。
• 若支付贖金是一個選項，規劃如何取得並支付加密貨幣（贖金通常以比特幣支付）。請注意，這通常由第三方負責進行。外部投資人關係與法律顧問會有偏好的第三方單位，保險公司也可能指定特定單位。
• 評估從備份執行大規模復原的能力。但最好假設對方已滲透了您所知的最後一份備份。
  • 請注意，無論做何選擇、是否付款，都可能需要時間恢復正常營運。您應根據營運持續計畫，採取維持組織必要功能的措施。