Ransomware mengenkripsi file dan menuntut pembayaran untuk kunci dekripsi. Kasus pertama yang didokumentasikan terjadi pada tahun 1989, yang disebarkan melalui disket. Versi modernnya merupakan industri kriminal. Kelompok-kelompok seperti LockBit, BlackCat, dan Cl0p mengoperasikan program afiliasi. Afiliasi membobol sistem, menyebarkan malware, dan menegosiasikan uang tebusan. Para pengembang mengambil bagiannya. Tuntutan uang tebusan telah mencapai puluhan juta dolar. Colonial Pipeline membayar $4,4 juta pada tahun 2021 setelah serangan ransomware menghentikan pengiriman bahan bakar di seluruh wilayah timur Amerika Serikat.

Ransomware modern tidak hanya mengenkripsi data. Pertama-tama, ransomware mencuri data dan mengancam akan mempublikasikannya jika korban tidak membayar. Taktik pemerasan ganda ini menekan organisasi yang memiliki cadangan data yang baik. Bahkan jika mereka memulihkan dari cadangan, kebocoran data tetap terjadi. Beberapa kelompok bahkan melewatkan enkripsi sepenuhnya dan hanya mengancam akan membocorkan file yang dicuri. Respons terhadap ransomware telah membaik. Cadangan data lebih tangguh. Penegak hukum telah mengganggu kelompok-kelompok besar. Tetapi masalahnya belum terpecahkan. Kelompok ransomware beradaptasi, mengubah merek, dan kembali. Prinsip-prinsip dasar tetap penting: melakukan patching, segmentasi, melakukan backup offline, dan melatih pemulihan.

Hal-hal penting dalam pertahanan terhadap ransomware

• Cadangan offline — salinan permanen yang tidak dapat dienkripsi.
• Penambalan — menutup kerentanan yang digunakan penyerang.
• Segmentasi — membatasi seberapa jauh malware menyebar
• MFA — memblokir akses awal berbasis kredensial
• Latihan pemulihan — berlatih memulihkan keadaan sebelum insiden sebenarnya terjadi.

Membayar uang tebusan justru mendanai serangan berikutnya. Selain itu, hal ini tidak menjamin data akan kembali. Pemulihan dari cadangan (backup) adalah satu-satunya jalan yang dapat diandalkan.