Ransomware 困境：分析 Instructure 支付赎金的决定
最近的消息称，广泛使用的 Canvas Learning Management System (LMS) 背后的公司 Instructure 在发生数据泄露后向黑客支付了赎金，这成为了现代网络安全危机的一个案例研究。当一家公司的关键基础设施遭到破坏且敏感数据被挟持时，支付赎金的决定很少是简单的。它涉及对风险、伦理和法律模糊性的复杂计算。
事件与后果
Instructure 确认他们支付了赎金以恢复数据并防止个人信息泄露。根据公司的更新，数据已被“归还”，并且他们收到了“数据销毁的数字确认（粉碎日志）”。
这种措辞在技术观察者中引发了巨大的怀疑。正如 Hacker News 上的几位评论者所指出的，在数字语境下，“归还”数据的概念在逻辑上是有缺陷的，除非数据被加密或原始数据已被删除。在大多数 ransomware 攻击中，数据在被加密之前会被窃取（复制）。如果数据仅仅是被复制了，那么无论提供任何“粉碎日志”，黑客仍然拥有该信息的副本。
"We received digital confirmation of data destruction (shred logs). This is shockingly naive"
Ransomware 的经济学
反对支付赎金的主要论点之一是，这会助长 ransomware 的生态系统。通过证明这种“商业模式”行之有效，公司会激励更多的攻击。然而，这里存在一个反直觉的经济理论：为了让 ransomware 组织维持“信誉”，他们必须在收到付款后真正履行删除或归还数据的承诺。如果受害者认为支付赎金并无效果，该行业就会崩溃。
这创造了一个奇怪的悖论，即犯罪分子被迫采取某种形式的“诚实”，以确保未来的受害者继续支付。然而，从长远来看，这种循环只会增加目标的总数。
法律与伦理辩论
关于支付赎金是否应该被定为非法，存在着激烈的辩论。一些人认为，应该像对待绑架案一样对待 ransomware——即政府应劝阻或禁止支付，以终止该行业。
然而，其他人认为这种方法是误导性的，原因如下：
- 攻击者的低风险： 与需要身体在场且具有高风险的绑架不同，黑客攻击是一种低风险、高回报的活动。攻击者可能为了声望、国家利益或仅仅是为了好玩而进行黑客攻击，这意味着缺乏经济回报并不一定会阻止攻击。
- 客户负担： 当一家公司拒绝支付时，往往是最终用户（在 Canvas 的案例中是学生和教师）的私密数据被泄露，而不是公司高管。
- 市场失灵： 当前的市场力量不足以惩罚因安全防护不力而导致泄露的公司。一些人建议，与其禁止支付，法律的重点应该放在对导致泄露发生的初始疏忽行为的处罚上。
技术失败与系统性风险
从技术角度来看，支付赎金的决定通常指向灾难恢复计划的失败。如果一家公司维持着物理隔离的、频繁的备份，黑客所拥有的筹码就会显著减少。
批评者认为，对于像 Canvas 这样关键的任务型教育工具，缺乏一种能够使支付赎金变得不再必要的稳健恢复策略，是架构设计不达标的迹象。对单一提供商进行关键学术数据的依赖，造成了一种系统性风险，即系统可用性的“人为需求”使得公司容易受到勒索。
结论
Instructure 的支付赎金决定可能解决了一个眼前的危机，但它突显了科技行业中一个更广泛的问题。由于对匿名支付所依赖的加密货币以及对安全疏忽缺乏严厉后果，激励结构仍然是失衡的。直到关注点从泄露后的补救措施转向对 PII (Personally Identifiable Information) 处理的严格预防和审计，公司将继续发现自己处于为自己被盗的数据付费的境地。