據勒索軟件協商公司Coveware的數據顯示，2023年第四季度，支付勒索贖金的勒索軟件受害者比例已降至歷史最低，僅為29%。其實早在2021年年中，當時的支付率從2019年初的85%下滑至46%，這一趨勢已經逐漸明顯。

勒索支付率來源：Coveware

據Coveware分析，支付勒索金比例持續下降的原因復雜多樣，包括企業和組織更加完善的防范措施，缺乏對網絡犯罪分子承諾不會泄露被盜數據的信任，以及某些地區明令禁止支付贖金所產生的壓力。

Coveware研究發現，即便在遭受網絡攻擊且數據被盜的情況下，上一季度的贖金支付率也僅為26%。

不僅支付勒索軟件贖金的受害者數量減少，實際支付的贖金金額也有所下降。Coveware指出，2023年第四季度的贖金支付平均金額為568705美元，比前一季度下降了33%，而中位數贖金支付額為20萬美元。

贖金支付金額來源：Coveware

2023年第四季度，受害機構的規模有所下降，扭轉了2022年第二季度以來的發展態勢。當時，由于攻擊者預見贖金支付率會下降，他們開始轉而攻擊規模更大的公司，以求獲得更高的贖金補償差額。

勒索軟件攻擊目標公司的規模來源：Coveware

禁止支付贖金

除了上述統計數據外，Coveware的報告還涉及了禁止支付贖金這一有爭議的話題，以及這些禁令可能對被攻擊的組織和網絡犯罪社區產生的影響。從理論上講，禁令聽起來是個好主意，但在實際操作中并非那么簡單。

Coveware表示，如果美國或其他頻繁遭受攻擊的國家實施了全國性的禁令，遭受攻擊的公司很可能會停止向當局報告這些事件，并向不正規的服務提供商尋求幫助。

如果出臺此類法律，一夜之間將形成一個龐大的非法市場，所有受害者與執法機構合作取得的進展都將被逆轉，這無疑是給自己挖了一個大坑。

Coveware的報告指出：許多受害者會迅速評估風險（公司遭受的重大損失與可能面臨的罰款及處罰），然后轉向非法市場中尋找解決方案。有些公司仍然會選擇上報以確保安全，但任何曾經考慮過支付或決定支付贖金的受害者都會選擇保持沉默，因為一旦上報，那就相當于承認了自己的犯罪行為。

Coveware建議加倍強化一些現有機制和舉措，加大勒索軟件從中獲利的難度，包括：

• 加強對勒索支付的報告框架和盡責調查，鼓勵進行詳細披露和建立決策框架。
• 提供積極報告和合規的安全保障，并結合強制性報告要求，促進與執法部門的合作。
• 對不披露事件的行為處以重罰，同時避免對首席信息安全官（CISOs）個人責任的追究，以維護安全人才隊伍。
• 強調與執法部門的長期合作，并明確長期的報告義務，以便有效進行調查。
• 集中采取戰略措施，降低勒索支付的吸引力和便利性，進而削弱勒索軟件作為盈利性攻擊手段的可行性。

遺憾的是，步入2024年，勒索軟件依然是全球網絡安全領域的一大挑戰，現有的解決方案還不足以消滅它們。不過，贖金支付率下降趨勢已然證明通過協同努力來對抗這一問題是有效的，這也標志著局勢在朝著正確的方向發展。