Quando uma empresa paga uma exigência de ransomware, a suposição natural é que o dinheiro simplesmente desapareceu. Na maioria dos casos, o próprio pagamento é irrecuperável, mas o registo on chain de para onde foi depois não é, e esse registo tem muitas vezes um valor real, mesmo depois de o incidente em si parecer encerrado.
Trabalhar a partir da carteira para a frente
Investigar um pagamento de resgate depois do facto significa trabalhar inteiramente a partir de dados de transação públicos, a carteira que recebeu a exigência, e tudo o que essa carteira fez a seguir, em vez de tentar identificar o atacante diretamente. Isto pode revelar se o mesmo agente está ligado a outros incidentes, e onde os fundos acabaram por se fixar.
Para quem este trabalho é normalmente feito
Este tipo de investigação retrospetiva é frequentemente pedido por seguradoras a avaliar uma participação de sinistro cibernético, ou por advogados a considerar os passos seguintes, em vez de pela própria empresa à espera de uma recuperação direta. Não devolverá o pagamento, mas pode reforçar de forma significativa uma participação de sinistro ou um encaminhamento às forças da lei, e pode também estabelecer se a mesma carteira ou infraestrutura já apareceu noutros incidentes não relacionados.
A coisa mais útil que uma empresa pode fazer imediatamente depois de pagar um resgate é registar o identificador exato da transação e o endereço da carteira de destino antes de o incidente ser encerrado internamente.
O que um rastreamento concluído pode sustentar
Para além de fins de seguro e jurídicos, um rastreamento documentado de um pagamento de resgate é muitas vezes o que permite a uma organização falar com confiança sobre o incidente mais tarde, perante um conselho de administração, um regulador, ou uma base de clientes, em vez de deixar permanentemente sem resposta a questão de para onde foram os fundos.