Att betala lösen – vägen till ett digitalt helvete

Ransomware-attacker, där cyberkriminella krypterar företagsdata och kräver lösen för att återställa den, har blivit allt vanligare. Många organisationer väljer i dag att betala lösen för att undvika omfattande störningar i verksamheten. Men är detta ett alternativ som håller i längden?

Sverige har under det senaste året drabbats av en rad omfattande ransomware-attacker som har skakat grundligt i både den offentliga och privata sektorn. Dessa attacker har inte bara resulterat i stora ekonomiska förluster utan också i omfattande störningar av viktiga samhällsfunktioner. Det är mot denna bakgrund som frågan om att göra betalning av lösen olagligt blir allt mer aktuell.

En ond cirkel

Genom att betala lösen bidrar vi till att finansiera en lukrativ och växande brottslighet. Varje betalning är som att hälla bensin på en redan brinnande eld. När organisationer visar sig beredda att betala, ökar incitamentet för cyberkriminella att utföra fler attacker. Det blir en ond cirkel där organisationer tvingas välja mellan att betala utpressare eller riskera att förlora viktiga data och affärshemligheter.

Förebyggande är bättre än botande

Genom att göra betalning av lösen olagligt kan vi bryta denna cirkel. Plötsligt blir det betydligt mindre lönsamt att utföra ransomware-attacker då sannolikheten blir mycket lägre att en organisation kommer betala en lösen. Då det inte längre är ett alternativ att betala sig ur situationen så kommer det tvinga organisationer att bli mer proaktiva i sitt säkerhetsarbete.

Fördelar med att förbjuda lösenbetalningar:

• Minskat incitament för cyberkriminella: Genom att ta bort den ekonomiska vinsten minskar vi attraktiviteten i att utföra ransomwareattacker.

• Ökat fokus på förebyggande åtgärder: Företag kommer att tvingas investera mer i It-säkerhet och förebyggande åtgärder för att skydda sig mot attacker.

• Stärkt motståndskraft: Genom att förbereda sig för attacker och ha robusta säkerhetskopior kan företag minimera skadorna även om de skulle drabbas.

Avdragsgilla lösen – en motsägelse?

Det är en paradox att organisationer som betalar utpressningsliknande avgifter ska kunna använda dessa utgifter som avdrag i sin deklaration. Att göra lösenbetalningar avdragsgilla är att underminera syftet med att förbjuda dem. Statliga medel ska inte användas för att finansiera kriminella verksamheter. Genom att göra lösenbetalningar oavdragsgilla skickar vi en tydlig signal om att detta beteende inte kommer att tolereras. Det är även pengarna som är spåret till att lösen har betalats och det borde ligga i revisorns uppdrag att upptäcka och rapportera detta.

Säkerhet är ingen garanti, men återhämtning är nödvändig Även om ett företag har investerat i de bästa säkerhetslösningarna kan det ändå drabbas av ett intrång. Cyberkriminella blir alltmer sofistikerade och hittar nya sätt att kringgå även de mest avancerade skyddssystemen. Det är därför avgörande att alla organisationer har en robust plan för att kunna återställa sina system och data om det värsta skulle inträffa.

Invändningar och lösningar

Visst finns det de som hävdar att det är orealistiskt att förbjuda lösenbetalningar helt och hållet. Dessutom kan det vara svårt att spåra och bevisa att ett företag har betalat lösen. Det kan vara lämpligt att införa undantag i lagen för situationer där människoliv eller kritisk infrastruktur är hotad. Men även i dessa fall bör det finnas strikta regler för hur betalningarna ska hanteras och även då bör det bli en påföljd.

Det räcker inte heller att bara införa detta i Sverige långsiktigt, vi skulle behöva liknande regler i övriga världen också men låt oss i Sverige gå i bräschen. Fördelen med att sticka ut och göra detta tidigare och starkare än andra är att vi blir ett mindre intressent mål.

Ransomware-skatt ett alternativ?

Ett alternativ skulle vara att i kombination med att göra lösenbetalning icke avdragsgill införa en ransomware-skatt. Även detta skulle göra att organisationer skulle bli mer proaktiva i sitt säkerhetsarbete då kostnaden för en eventuell attack skulle öka drastiskt. Det skulle även minska förmågan att betala lösen, vilket resulterar i mindre pengar till kriminella. Denna skatt skulle kunna öronmärkas till att hjälpa organisationer med att förebygga dessa attacker. Denna skatt behöver vara kraftig, till exempel 5x lösenbeloppet för att få rätt effekt samt att mer pengar ska gå till förebyggande åtgärder jämfört med det belopp som går till de cyberkriminella.

Slutsats

Att göra betalning av lösen till cyberkriminella olagligt eller att beskatta den är ett viktigt steg mot en säkrare digital värld. Genom att minska den ekonomiska vinsten för cyberkriminella kan vi reducera antalet attacker och tvinga företag att bli mer proaktiva i sitt säkerhetsarbete.

Det är dags att säga nej till utpressning och bygga en digital framtid där säkerhet och integritet står i centrum.

Joakim Öhman, VD och grundare Elastx