去年第四季只有29%的勒索軟體受害者支付贖金，創下歷史新低

專門提供勒索軟體受害者諮詢服務的Coveware近日公布去年第四季的勒索軟體調查報告，指出勒索軟體受害者支付贖金的比例只有29%，創下歷史新低，相較於2019年時，有高達85%的受害者選擇支付了贖金。

根據Coveware歷年來的調查數據，勒索軟體受害者平均支付的贖金逐年增加，原因包括駭客的胃口變大了，所攻擊的對象也從個人擴大到知名品牌。2018年第三季時，受害者平均支付的贖金可能只有幾美元，到了2020年第三季便增加到接近25萬美元，去年第四季則達到56.8萬美元。

圖片來源／Coveware

至於支付贖金的受害者比例則日益減少，從2019年第一季的85%，到2020年第四季的60%，一直到去年第四季的29%。Coveware分析，受害者不再支付贖金的主要原因包括企業開始有所準備，愈來愈能夠在不需要解密工具的情況下恢復；同時也開始不再相信駭客宣稱不發布或濫用所竊資料、或是不再攻擊的無形承諾。有不少的例子表明，駭客在得到贖金的狀況下，還是外洩了受害者資料。

對於各國政府是否應該立法，禁止受害者支付贖金來遏止勒索軟體的攻擊行動，Coveware也提出了該公司的看法，認為像澳洲這樣市場規模不如美國的國家也許適用於相關立法，一來該法令可能較容易受到大眾的支持，二來對駭客而言該市場並不大；然而，美國就截然不同了，因為絕大多數的勒索軟體攻擊發生在美國，堪稱是勒索軟體駭客最大的市場，一旦美國政府頒布了禁令，攻擊或許不會減少，但支付贖金的交易會轉至地下，受害者為避免觸法也不願再舉報，進而影響美國執法機構掃盪駭客的能力。

該季最受勒索軟體駭客青睞的滲透管道為入侵RDP，居次的是網釣電子郵件，排名第三的則是軟體漏洞。最常遭到駭客利用的漏洞為思科SSL VPN漏洞CVE-2023-20269，最活躍的勒索軟體駭客組織則是Akira，市占率為17%。受到攻擊的前四大個領域依序是專業服務、醫療保健、消費者服務和公共部門，但Coveware強調，勒索軟體通常沒有一定的攻擊對象，絕大多數是因為這些領域的資安人力或安全保障不足，使得駭客更容易得手。

圖片來源／Coveware

圖片來源／Coveware