Ransomware: pagar ou não pagar, eis a questão

Em teoria, há um argumento inegável que diz que quando pagamos o resgate dos nossos dados, estamos a contribuir diretamente para o fomentar da criminalidade. Em muito casos é uma decisão puramente económica: é mais barato pagar do que perder a informação. Mas estamos efetivamente a oferecer sustento a um serviço de extorsão.

Por outro lado, se não pagarmos, é provável que não consigamos os dados de volta –  por vezes existem decrypters gratuitos eficientes disponíveis, mas na maioria dos casos a indústria da segurança não consegue fornecer um – ou talvez os danos sejam tão severos que a empresa tem mesmo de fechar as portas.

Não podemos culpar as pessoas – ou as empresas – quando estas decidem pagar em vez de cometer suicídio financeiro, tanto quanto podemos culpá-las de dar as suas carteiras a pessoas que as ameaçam com facas. Na verdade, por estarmos a falar de empresas em vez de pessoas, pode ser até mais responsável pagar do que destruir o modo de vida de toda a equipa, incluindo a dos funcionários que se encontram no fundo da hierarquia e que têm menos hipótese de suster danos nas suas finanças do que o Conselho de Administração.

Se as pessoas e empresas não pagassem, os ataques de rasomware tornar-se-iam um prejuízo, o que travaria a criminalidade, mas por outro lado forçaria os atacantes a explorar outros caminhos – ou talvez deva dizer “caminhos escuros e sinistros". No entanto, os ataques permanecerão economicamente viáveis enquanto existirem pessoas que não estão aptas a defender os dados de maneira proativa.

É mais fácil acreditar que é “errado” ceder a pedidos de resgate para os que têm o conhecimento e os recursos para implementar defesas adequadas. Claro que as empresas devem implementar defesas deste género e investir numa estratégia de backup; e práticas de backup saudáveis são uma defesa eficaz contra todo o tipo de infortúnios, não apenas ransomware. Mas só se as empresas acharem ser mais barato ceder do que investirem nessas práticas é que estarão a ter uma atitude repreensível.

A prevenção vale mais do que mil Bitcoins e não encoraja os criminosos a perpetuar os seus crimes. Por outro lado, vale a pena lembrar que pagar o regate nem sempre assegura a recuperação dos dados: o FBI, que também defende a posição de “não pagar”, sugere backups que não estejam ligados aos computadores e redes de que são backup. Contudo, uma vez que é um pouco complicado fazer backup de dados sem ligação ao sistema usado como armazenamento primário, é provável que isso signifique que também não é sensato manter os backups acessíveis de forma rotineira ou permanente a partir desse sistema, uma vez que isso acarreta um risco elevado dos backups serem também encriptados pelo rasomware.
Neste caso como noutros, trata-se de um cenário em que a prevenção é mesmo a melhor solução…