Wenn ein Unternehmen einer Ransomware-Forderung nachkommt, liegt die naheliegende Annahme nahe, dass das Geld einfach verloren ist. In den meisten Fällen ist die Zahlung selbst tatsächlich nicht wiederherstellbar, doch die On-Chain-Aufzeichnung darüber, wohin sie anschließend geflossen ist, ist es nicht, und diese Aufzeichnung hat oft einen echten Wert, selbst wenn sich der Vorfall selbst bereits abgeschlossen anfühlt.
Von der Wallet aus vorwärts arbeiten
Eine nachträgliche Ermittlung zu einer Lösegeldzahlung bedeutet, vollständig auf Grundlage öffentlicher Transaktionsdaten zu arbeiten – der Wallet, die die Forderung erhalten hat, und allem, was diese Wallet anschließend getan hat –, statt zu versuchen, den Angreifer direkt zu identifizieren. Dies kann aufdecken, ob derselbe Akteur mit anderen Vorfällen in Verbindung steht und wo die Gelder letztlich gelandet sind.
Für wen diese Arbeit meist durchgeführt wird
Diese Art der rückblickenden Ermittlung wird häufig von Versicherern angefordert, die einen Cyber-Schadensfall prüfen, oder von Rechtsbeiständen, die nächste Schritte erwägen, statt von dem Unternehmen, das eine direkte Wiederbeschaffung erwartet. Sie bringt die Zahlung nicht zurück, kann jedoch einen Anspruch oder eine Meldung an die Strafverfolgungsbehörden erheblich stärken, und sie kann zudem feststellen, ob dieselbe Wallet oder Infrastruktur bereits bei anderen, nicht verwandten Vorfällen aufgetaucht ist.
Das mit Abstand Nützlichste, was ein Unternehmen unmittelbar nach Zahlung eines Lösegelds tun kann, ist, die genaue Transaktionskennung und die Zieladresse zu dokumentieren, bevor der Vorfall intern abgeschlossen wird.
Was eine abgeschlossene Rückverfolgung unterstützen kann
Über Versicherungs- und rechtliche Zwecke hinaus ist eine dokumentierte Rückverfolgung einer Lösegeldzahlung häufig das, was einer Organisation ermöglicht, im Nachhinein mit Zuversicht über den Vorfall zu sprechen – gegenüber einem Vorstand, einer Aufsichtsbehörde oder einem Kundenstamm –, statt die Frage, was mit den Geldern geschehen ist, dauerhaft unbeantwortet zu lassen.