שורה של חברות בינלאומיות נאלצו לפרסם השנה אזהרת רווח, ולפיה מתקפת הסייבר NotPetya שהתחוללה בחודש יוני גרמה להן נזקים של מאות מיליוני דולרים. זוהי רק דוגמה אחת לעלויות הכבדות של התקפות אלו, הפוגעות בדבר החשוב ביותר לחברות, למנהליהן ולמשקיעים בהן: שורת הרווח – כותב פייננשל טיימס.
מומחה האבטחה צ'רלס קרמאקל טיפל אישית במאות פריצות שבוצעו במסגרת NotPetya והוא אומר, שחלק מן החברות עודן מנתחות את הנזקים שנגרמו להן. מה שברור הוא, שהמתקפה הזאת הייתה הרבה יותר יקרה מזו שקדמה לה בחודש אך זכתה להרבה יותר פרסום, WannaCry. היעד המרכזי של ההתקפה היה עסקים באוקראינה, וקרוב לוודאי שממשלת רוסיה עמדה מאחוריה; החברות הבינלאומית היו בגדר "תופעות לוואי". הנזק העיקרי היה בפעילות העסקית השוטפת, אך גם תיקון הפרצות יעלה לכל חברה מיליוני דולרים, אומר קרמאקל.
המחיר של התקפת סייבר משתנה בצורה משמעותית, בהתאם לאופי הפריצה, גודל החברה, מידת המוכנות שלה, ענף פעילותה והמדינה. בדיקה נרחבת של מכון פונמון בקרב 2,182 נשאלים ב-254 חברות בשבע מדינות העלתה, כי הנזק הממוצע עלה אשתקד ב-22.7% והגיע ל-11.7 מיליון דולר; מספר ההתקפות עלה ב-27.4%. הנזק הממוצע מפריצה למאגרי מידע עלה ב-10% ל-4 מיליון דולר; הנזק מכל פיסת מידע שאבדה אומנם ירד ב-10% ל-141 דולר, אבל בכל פריצה נגנבו או אבדו יותר פריטים.
ההאקרים יכולים לעשות הרבה יותר מאשר לגנוב מידע. הם יכולים לשבש ואף להשבית שירותים, להוריד עסקים מהרשת ולגנוב קניין רוחני. לקוח אחד של קרמאקל העריך, כי נגנב ממנו קניין רוחני בשווי מיליארד דולר – וזה עלול להיות הרסני אם הידע הזה יגיע לידיים של מישהו שיעשה בו שימוש.
לארי פונמון, מייסד המכון הנושא את שמו, אומר שהפצחנים הולכים ומאמצים יותר ויותר טכניקות הרסניות, המותירות את העסק בלא מידע חיוני. תדירותן של מתקפות כופר – בהן הפצחנים נוטלים מידע כ"בן ערובה" באמצעות קידוד שלו ודורשים תשלום תמורת שחרורו – הוכפל אשתקד והן היוו 27% מכלל המתקפות. והחדשות העוד יותר רעות הן, שלהערכתו של פונמון מתקפות הכופר הן רק ההתחלה של משהו חמור בהרבה; "סחטנות הסייבר היא גל עצום". מומחי סייבר אחרים מזהירים, כי פצחנים עלולים לגרום לתוהו ובוהו לא באמצעות גניבה או הרס של מידע, אלא באמצעות הטמעת מידע שגוי במערכת, כך שחברות ייאלצו לפקפק במהימנות של רישומיהן.
פייננשל טיימס מציין, כי יש מרכיבים רבים במתקפות הסייבר שהחברות אינן יכולות לשלוט בהן: העלות של מתקפה בארה"ב גבוהה יותר מאשר בברזיל, והנזק מגניבת מידע רפואי גבוה בהרבה מאשר גניבת מידע עיתונאי. עם זאת, יש דברים שכל חברה יכולה לעשות כדי להפחית את הנזק. החברות יכולות להפעיל יותר אמצעי מעקב, כך שיגלו מהר יותר את המתקפות; הן יכולות למנות צוותי תגובה; הן יכולות לחלוק ביניהן מידע על איומים ואמצעי אבטחה.
אמצעי נוסף שיכול להקשות על פצחנים הוא ביזור של הרשתות, כך שגם אם יש פריצה לאחת מהן – לא ניתן לגנוב את כל המידע. מומחה האבטחה אד סטרוץ מציע לחברות להשקיע בהגדלת הקיבולת במערכות שלהן, כך שבמקרה של מתקפה יוכלו להפעיל אותן באמצעות הקיבולת הפנויה; זה לא משהו שטוב שיהיה, אלא חיוני שיהיה – הוא טוען.
בכזו אווירה של חוסר ודאות, החברות פונות לשוק הביטוח במטרה לקבל הגנה. השוק מצוי בראשית דרכו, אך כמה מומחי אבטחת סייבר טוענים שמצב זה יכול לפעול לטובת הלקוחות, שכן חברות הביטוח מוכנות לשלם סכומים ניכרים כדי להיכנס לשוק. כמה מחברות הביטוח מרחיבות כעת את כיסוי הדירקטורים ונושאי המשרה כך שיחול גם על ההחלטות שהללו מקבלים בנוגע לאבטחת המידע ולתגובה למתקפות.
