据知情人士透露，美国最大保险企业之一CNA Financial公司在今年3月下旬遭遇勒索软件攻击后，被迫支付4000万美元，以换回对网络设施的正常控制。

根据两位匿名消息人士介绍，这家位于芝加哥的公司在数据被盗、内部员工被锁定在网络之外的约两周后，向黑客支付了赎金。

CNA公司发言人Cara McCall在一份声明中强调，该公司严格遵守法律要求，CNA公司已经与联邦调查局及美国财政部外国资产控制办公室协商并共享了关于攻击事件和黑客身份的情报。有趣的是，资产控制办公室去年才刚刚明确表态，称可能会对向黑客支付赎金的组织施加制裁。

Cara McCall解释道，“CNA不对赎金问题发表任何评论。CNA在此次事件的处理中严格遵循法律、法规及已发布的指南要求，包括资产控制办公室发布的〈2020年勒索软件指南〉。”

在5月12日发布的安全事件更新中，CNA再次重申，“负责存储大部分保单持有者数据（包括保单条款与承保范围）的记录系统、索赔系统或承保系统应该未受此次攻击的影响。”

袭击的勒索团伙尚未被美国制裁

由于相关报道很少披露勒索软件攻击中的付款情况，所以我们很难判断迄今为止的最高赎金数额。根据Palo Alto Networks公布的数据，2020年内勒索软件攻击的平均付款额为312,493美元，较上年增长171%。而据三位熟知软件勒索谈判事务的人士所言，此次CNA支付的4000万美元至少在已披露事件中稳坐头把交椅。

CNA黑客使用的是一款名为Phoenix Locker的恶意软件，属于勒索软件Hades的一个变种。根据网安专家介绍，Hades则由俄罗斯网络犯罪团伙Evil Corp.开发完成。Evil Corp.曾在2019年受到美国制裁，但考虑到黑客团伙经常会共享代码甚至相互出售恶意软件，此次攻击的真正黑手恐怕难以查明。

而作为提供网络保险业务的厂商，CNA自主调查的结果显示，攻击方是一个名为Phoenix的组织，目前并不在美国政府的制裁名单当中。

美国立法者及监管机构一直在高度关注网络犯罪活动，而此次CNA支付赎金的举动很可能引发各方不满。单在去年一年，勒索软件团伙就曾先后针对全美各医院、制药商、警察机关以及其他公共安全组织发动攻击。联邦调查局则多次强调不应支付赎金，称这是在助长犯罪分子的嚣张气焰，而且也无法保证能顺利拿回数据。

勒索软件是一种用于加密受害者数据的恶意软件。目前，网络犯罪分子在加密数据之前往往还会保留一份副本。在攻击得手后，黑客会要求受害者支付赎金以解锁文件，同时保证不会泄露被盗数据。据网络安全专家称，近年来不断有黑客组织利用网络保险政策与大量消费者敏感数据要挟受害者，迫使他们不得不接受勒索金额。

根据安全专家与执法机构特别工作小组的说法，去年可以算是全球勒索软件攻击全面爆发的元年。该小组估计，全球受害者去年总计支付约3.5亿美元赎金，较2019年上涨了311%。工作小组建议拜登政府及各私营部门采取48项应对措施以缓解此类攻击威胁，包括严格监管作为赎金支付载体的数字货币市场。

但就在这份报告被递交至白宫后不久，科洛尼尔油管公司就因勒索软件攻击而陷入瘫痪，燃油停供令美国东海岸多处油站前排起了长长的车队。攻击发生后数小时，科洛尼尔就向黑客团伙“服软”。在随后接受《华尔街日报》采访时，公司CEO Joseph Blount承认已经向黑客方支付了440万美元赎金。

据两位熟知CNA攻击事件的消息人士透露，CNA方面最初曾打算无视黑客的要求，尝试自主恢复文件数据。但在失败之后，该公司决定就6000万美元这一价码与黑客展开谈判。在双方商定结果后，4000万美元一周后即顺利到账。

网络安全公司Secureworks Corp.首席威胁情报官Barry Hensley表示，从代码重用情况来看，Phoenix Locker应该是Hades的一种变体。在他看来，“我们几乎可以肯定这个结论”，只是目前还不确定到底是谁在背后操纵着这轮攻击。

网络安全厂商CrowdStrike在今年3月发布的研究报告中提到，Hades出自Evil Corp.之手，目的是绕过美国对该组织的制裁。

2019年12月，美国财政部宣布对Evil Corp.中的17位相关成员及6个相关实体实施制裁。当时，财政部称Evil Corp.曾使用恶意软件“感染计算机，并从40多家银行及金融机构处收集登录凭证，盗窃总金额超过1亿美元。”此项认定的出台，意味着任何向Evil Corp.支付赎金的活动均属于非法行为。

Hathaway Global Startegies公司总裁、曾任美国前总统小布什与奥巴马网络安全顾问的Melissa Hathaway表示，过去六个月中全球勒索软件攻击呈现出指数级增长。

她提到，如今攻击方的平均勒索数额已经在5000万到7000万美元之间。虽然具体数字还有讨价还价的空间，但考虑到不少网络保险政策能够支付部分甚至全部费用，企业商定的金额已经基本进入千万时代。根据估计，她认为平均赎金大约在1000万到1500万美元之间。

参考来源：彭博社

声明：本文来自互联网安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。