现今社会不得不面对网络犯罪的一个事实——如果你不交赎金，你的数据可能永远丢失。执法者的观点是，面对网络犯罪不能屈服。你的屈服只会让不法分子变本加厉，同时也无法保证自己财产的安全。最好的办法是拒绝他们的要求，找出犯罪分子并惩罚他们，阻止他们对其他人做同样的事情。
但是，在数字世界里，犯罪分子会把数据加密，要求受害人支付赎金后方可提供密钥。这冲击着执法者的传统观点。很多情况下，网络勒索跨国界进行;其次，为了让更多人支付赎金，犯罪分子会信守承诺交出密钥。这就使得执法变得困难。
更滑稽的是，在某些情况下，执法者解决这类问题的最好办法也不过就是支付赎金。Boston Glober就报道过，波士顿郊区的一个警察局为了赎回被犯罪分子加密了的数据支付了500美元赎金，这些数据中包括警察局的逮捕和事故记录。报道中还提到，警察局和国家执法机构以及两家私人网络安全公司联合起来，都没能破解密码。
有类似的事情还发生在芝加哥附近的警察部门，田纳西州、新罕布什尔州和亚拉巴马州。简而言之，网络勒索是一个日益发展壮大的行业。大多数犯罪分子已经弄清，只要他们把赎金的数额放在一个一般人可以接受的价位——大约几百美金左右——并且保证赎金一到账就立马告知受害人密钥，那么自己的月收入就能达到数千美元。
赛门铁克安全响应经理Val Saengphaibul说，他的公司就知道这样一个网络犯罪团伙，他们的月收入至少在35000美元。其他网络犯罪团伙也发现了这个生财之道，其中有不少就在进行着这门生意。Val Saengphaibul指出，付款路径本身不容易被跟踪和拦截，加上数据的重要性使得付款比例不断上升。
ThreatTrack Security最近的一项调查发现，被调查的30%的安全专业人士表示，他们会使用传统的应对方式对待网络勒索，有55%的受访机构已经成为了网络勒索的牺牲品。不过支付赎金也是有条件的，45%的受访单位表示会为了数据而支付赎金，但这也要看数据的价值有多大，在他们看来，员工的社保号、地址和薪水等信息尤为重要。
ThreatTrack的高级副总裁Stuart Itkin说，显然没有人能保证罪犯会解锁加密的数据，犯罪分子的最大利益在于让受害者屈服，并且通过病毒感染去挣更多的钱。Stuart Itkin说，这些犯罪分子甚至会专门设置程序以保证不会让已经交过赎金的受害者的数据再次被侵害。
Global Cyber Risk的CEO Jody Westby也表示，网络勒索已经变成了一个交易。对于Westby的大部分客户而言，最终网络勒索都由公司的商业决定解决了。
当然，并不是所有的勒索者都这么“高尚”。Saengphaibul表示：“你会发现，许多黑客也没有信守承诺，他们在受害者支付赎金之后还是没有给加密数据解锁。
Saengphaibul说赛门铁克坚持更传统的执法理念——不要付钱。
“交赎金就助长了这种非法活动，”他说：“犯罪分子不大可能会归还数据，所以不要助长他们的嚣张气焰，如果无利可图，自然就没有犯罪的意义了。”
他说，如果被敲诈的对象定期备份文件，他们不会首当其冲成为受害者。“如果没有地下经济的需求，那么黑客最终将无路可走。”
但是(+本站微信networkworldweixin)，对企业而言，并不是只要备份文件就可以了。
“每个人都应该有备份，”Westby说：“但这并不是关键。问题是信息泄露。黑客将数据买回来以防止其泄露。”
Westby说，如果一家公司拒绝支付赎金，那么他们的信息就有可能泄露。“黑客可以碎片化地泄露信息，或者是将信息当中最具危害性的发给媒体，他们可以把数据拿到黑市上卖或者是卖个受害公司的竞争对手。” “危害就是损害声誉，丧失市场份额，失去客户以及关乎公司生死的定价数据或其他战略业务数据被泄露。”
Itkin对此表示赞同。“数据泄露的新闻头条、法律诉讼、影响消费者信任的消息和其他附带损害可能给(勒索)巨大的杠杆作用，”他说。
“你可以看一下近期索尼受攻击数据受攻击的事件，首先，犯罪分子操控了一部重要的索尼电影的版权，这个商业损失不光是索尼的，还有准备上映这个片子的电影院。然后，黑客公开了许多索尼内部的邮件信息及索尼高层薪酬等。”
“我见过IT部门的人对网络勒索持强硬态度，他们说：不给一分钱”。但随后首席财务官或另一个管理层介入，评估了犯罪分子的要价并决定支付赎金以保证公司正常运转。
这意味着，虽然应该数据备份应该是自动和定期的，但这远远不够。严谨、端到端的加密还应该是强制性的，因为它可以使大多数被盗数据变成无用的。
对于偷来的加密数据，“罪犯甚至不知道他们针对什么索要赎金，” Westby补充说,，“网络敲诈保险也是好的，因为我们处在网络犯罪的新时代。”
但除了备份和加密，包括Saengphaibu在内的专家说，“安全是多层的，需要一个全方位的方案——端点安全、员工培训、系统更新等等。”
“安全，不应该仅仅局限在传统的杀毒软件，还应该包括下载保护、浏览器保护、启发式技术、防火墙和一个社区源文件信誉评分系统。”
谈判时，Itkin认为安全专家应该始终保持清醒的认识，即“网络犯罪的第一要务是赚钱，而不是信守承诺。”
(责任编辑：冬天的宇)
