I denna 22 augusti, 2019, fil foto, skyltar på en bank av datorer talar om för besökare att maskinerna inte fungerar på folkbiblioteket i Wilmer, Texas. Vissa cybersäkerhetsproffs är oroade över att försäkringar som är utformade för att begränsa skadan av ransomware-attacker faktiskt kan uppmuntra hackare. Tjugotvå lokala myndigheter i Texas drabbades i augusti. (AP Photo/Tony Gutierrez, Fil)
Samtalet kom en lördag i juli och levererade dystra nyheter:Många av datorsystemen som betjänar regeringen i LaPorte County, Indiana, hade tagits som gisslan med ransomware. Hackarna krävde 250 dollar, 000.
Aldrig, tänkte länskommissionens ordförande Vidya Kora. Men mindre än en vecka senare, tjänstemän i länet sydost om Chicago gick med på att betala 132 dollar, 000 lösen, täcks delvis av 100 USD, 000 från deras försäkringsbolag.
"Det var i grunden ett ekonomiskt beslut, " sa Kora. "Hur länge håller du alla dessa anställda sittande, gör inget? Om du betalar detta, vi kan vara igång igen."
Det är just den kalkylen hackare räknar med. Nu är vissa cybersäkerhetsproffs oroliga över att försäkringar som är utformade för att begränsa skadan av ransomware-attacker kan uppmuntra hackare, som ser försäkringsbolag som täcker allt större lösensummor och väljer att rikta in sig på den typ av institutioner som sannolikt kommer att ha täckning.
"När en cyberbrottsling hittar en formel som fungerar för dem, de kommer att hålla fast vid det, sa Tyler Moore, en cybersäkerhetsprofessor vid University of Tulsa. "Om du är ett företag eller en stad som har denna täckning, beslutet om att betala är ganska klart. Det blir svårare när man tar ett steg tillbaka och ser på samhällssynen."
Bara i år, den genomsnittliga lösensumman steg från $12, 762 i slutet av mars till $36, 295 i slutet av juni – ett hopp på 184 % – enligt Coveware, ett företag som förhandlar på uppdrag av ransomware-offer.
Tjänstemän har hänvisat till försäkringsgivares hjälp att betala lösensummor i de senaste högprofilerade hackningarna, inklusive de i flera städer i Florida som betalade sexsiffriga lösensummor. Förtroendevalda försäkrade allmänheten om att skattebetalarna endast var ansvariga för en avdragsgill.
Borgmästaren i New Bedford, Massachusetts, erkände denna månad att stadens tjänstemän erbjöd sig att betala $400, 000 efter att ransomware låste 158 stadsdatorer i juli. Hackarna hade krävt 5,3 miljoner dollar.
I ett uttalande som släpptes två månader senare, Borgmästare Jon Mitchell sa att han till en början var ovillig att förhandla, men han drog så småningom slutsatsen att det skulle vara "oansvarigt" att avfärda "möjligheten att erhålla dekrypteringsnyckeln om försäkringsskyddet kunde täcka hela kostnaden för lösensumman."
New Bedford fick aldrig ett moterbjudande från sina hackare. Försäkringsskyddet genom AIG förväntas hjälpa till med kostnaden för att återställa förlorade filer och uppgradera säkerheten, har Mitchell sagt.
I denna 12 september, 2019, Foto, monitorer kontrollerar sina skärmar i guvernörens kontor för informationsteknologi i Denver. Vissa cybersäkerhetsproffs är oroade över att försäkringar som är utformade för att begränsa skadan av ransomware-attacker faktiskt kan uppmuntra hackare. "Vi vet inte vad den lösenbetalningen kommer att finansiera, sa Brandi Simmons, en taleskvinna för kontoret. "Som en statlig regering, vi vill inte vara i en position för att finansiera cyberterrorister." (AP Photo/David Zalubowski)
Den tidigaste användningen av ransomware kom i slutet av 1980-talet. Angripare utsätter ofta sina angrepp via e-post som innehåller skadliga länkar eller bilagor. När de väl har tillgång, de krypterar filer, databaser och hela datornätverk tills lösensumman är betald.
På senare år har ransomware har blivit mycket vanligare, drivs av kryptovaluta som gör det lättare för hackare att ta emot och sedan spendera utbetalningarna. Tjugotvå lokala regeringar i Texas drabbades i augusti. Företag som syftar till att motverka hackare eller reparera deras skador har vuxit snabbt som svar, inklusive försäkringsleverantörer som erbjuder försäkringar som täcker lösenbetalningar.
Försäkringsgivare släpper inte detaljerad information om kunders erfarenhet av ransomware, så det är svårt att veta hur ofta offren går med på att betala. En studie från 2016 av den ideella Cloud Security Alliance fann att företag med försäkring var mer benägna att betala lösen till hackare som hotar att släppa känslig information – 28 % jämfört med 22 % för företag utan försäkring.
Tjänstemän i La Porte County köpte en cybersäkerhetspolicy 2018, månader innan de blev påkörda, sa Kora. Försäkringsbolaget, Resenärer, skickade en advokatbyrå och ett cybersäkerhetsteam för att försöka återställa datorsystemen och samtidigt förhandla med hackarna. Länet rapporterade också ransomware till FBI.
Ingen kunde frigöra den krypterade informationen, sa Kora. I dagar, länets brottmåls- och civilrättsdomstolar stannade utan tillgång till register, databaser och betalningssystem. Anställda på andra länskontor hade ingen tillgång till e-post eller elektroniska register.
LaPorte Countys policy täckte upp till $100, 000 in mot en lösensumbetalning. Känner mig instängd, länskommissarie beslutade att täcka de återstående $32, 000.
Texas tjänstemän har släppt lite information om ransomware som drabbade lokala myndigheter, inklusive hackarnas specifika krav. Texas Department of Information Resources sade i ett uttalande som släpptes den 5 september att man inte kände till att någon gemenskap betalade en lösensumma.
Enligt FBI, mer än 1, 400 fall av ransomware rapporterades förra året, och offren rapporterade att de betalade 3,6 miljoner dollar. Men tidigare tjänstemän sa att det utan tvekan är en bråkdel av den sanna bilden eftersom många offer inte rapporterar, rädsla för skada för aktieägarna och förlust av kundernas förtroende.
Statliga myndigheter har ofta inte möjlighet att hålla tyst.
Cindy Pfeifer, kontorist och kassör i byn Nashotah i Wisconsin, stod inför tidsfrister för indrivning av fastighetsskatt, budgetförberedelser och färdigställande av anställdas skatteunderlag när hon började en arbetsdag i slutet av november. Men hennes dator var värdelös. Den hade låsts av hackare som krävde $10, 000.
I denna torsdag, 12 september, 2019, fotografera, monitorer kontrollerar sina skärmar i guvernörens kontor för informationsteknologi i centrala Denver. Vissa cybersäkerhetsproffs är oroade över att försäkringar som är utformade för att begränsa skadan av ransomware-attacker faktiskt kan uppmuntra hackare. "Vi vet inte vad den lösenbetalningen kommer att finansiera, sa Brandi Simmons, en taleskvinna för kontoret. "Som en statlig regering, vi vill inte vara i en position för att finansiera cyberterrorister." (AP Photo/David Zalubowski)
"Min mage kniper fortfarande när jag tänker på det, sa Pfeifer.
Teknikpersonal för byn 1, 357 invånare förhandlade ner hackarna till cirka $2, 500. Tjänstemän betalade, fruktade att återuppbyggnad av skivor skulle kosta mycket mer.
Josephine Wolff, en professor i cybersäkerhetspolitik vid Tufts University, befarar att försäkringsskydd för lösenutbetalningar ger offren distans till ringverkan av deras beslut.
"Genom att säga, 'Åh, detta är bara något som min försäkring täcker, ' de glömmer att det bidrar med direkta ekonomiska resurser till framtida kriminella operationer, sa Wolff.
Den effekten har hindrat vissa mål från att betala lösen. Efter att hackare låste system för leverantörer och anställdas betalningar vid Colorado Department of Transportation, statliga tjänstemän beslutade att inte ge upp. Att återställa systemen kostade upp till 1,5 miljoner dollar.
"Vi vet inte vad den lösenbetalningen kommer att finansiera, sa Brandi Simmons, en taleskvinna för guvernörens tekniska kontor. "Som en statlig regering, vi vill inte vara i en position att finansiera cyberterrorister."
Försäkringsbolagen sa att beslutet om att betala en lösensumma i slutändan är offrets och inte dikteras av villkoren i en policy, men det kräver övervägande av praktiska frågor, sa Michael Tanenbaum, chef för divisionen Cyber North America för Chubb-försäkring.
Hur länge kan de fungera utan tillgång till data? Har de fungerande säkerhetskopior att använda medan experter försöker få tillbaka data? Vad händer om de stulna uppgifterna inte kan återställas?
Chefer för ett multinationellt företag som tjänar 10 miljoner dollar om dagen kanske inte blinkar när de betalar 10 dollar, 000 för att få tillbaka data. En lösen på 10 miljoner dollar, fastän, skulle tänka mer, sa Howard Marshall, en tidigare biträdande biträdande direktör för FBI:s cyberdivision, som nu leder cyberhotsunderrättelseteamet på konsultföretaget Accenture.
"Tiden för den tankeprocessen är långt i förväg, " han sa, "inte när angriparens klocka tickar."
© 2019 Associated Press. Alla rättigheter förbehållna.
