Ransom Approved: 5 Pampublikong Kumpanya na Nagbayad sa mga Cyber Attacker

Dumarami ang bilang ng mga organisasyon na nakararanas ng ransomware attack. Ayon sa Sophos, 59% ng mga organisasyon ay naranasan ito noong 2024 at ang karamihan sa kanila (70%) ay nagresulta sa pag-encrypt ng data.

Hindi lamang ang bilang ng mga ransomware attack ang tumataas, kundi pati ang halaga ng bayad. Ang median na bayad sa ransomware ay mas mababa sa $200k noong 2023, na tumaas ng 650% hanggang $1.5 million sa halos isang taon, ayon sa datos ng IBM.

Inaasahang aabutin ng mga pag-atakeng ito ang $275 billion sa pinsalang pandaigdigang taun-taon pagsapit ng 2031. Kaya, ano nga ba ang ransomware attacks?

Ang ransomware ay isang uri ng malware, mapanirang software na dinisenyo upang harangan ang pag-access ng isang organisasyon sa kanilang sistema o i-encrypt ang kanilang data. 

Upang magawa ito, nag-iinfekto ang mga attacker ng isang sistema gamit ang virus, na ginagamit nila upang magpadala ng phishing email na maaaring maglaman ng mapanirang link o magnakaw ng kredensyal ng pag-login ng empleyado upang makakuha ng hindi awtorisadong pag-access sa network ng kumpanya. 

Kapalit ng mga susi sa decryption o pagpapanumbalik ng pag-access sa sistema, humihingi ng ransom money ang mga cybercriminal mula sa mga biktima. Napapailalim ang mga organisasyon sa mahirap na sitwasyon kung saan ang pagbabayad ng ransom ay tila pinakamadali at pinaka-makatipid na paraan upang maibalik ang kanilang pag-access. 

May ilang variant ng ransomware na nagdagdag ng functionality tulad ng pagnanakaw ng data, na nagbibigay ng karagdagang insentibo para magbayad ng ransom. Ngunit sa ilang high-profile na kaso, ang pagbabayad ng ransom ay maaaring maging pinaka-maliit na mapaminsalang opsyon, sa kabila ng mga panganib.

Mga Kumpanyang Nagbayad ng Ransom upang Protektahan ang Kanilang mga Customer

Bagaman ang pagsang-ayon sa mga kahilingan ng mga attacker at pagbabayad ng ransom ay hindi ideal na paraan upang harapin ang cybercrimes, dahil hindi lamang nito garantisado ang ligtas na pagbabalik ng ninakaw na data o pagpapanumbalik ng operasyon ng entidad, kundi nag-uudyok pa ito ng karagdagang cyber attacks, minsan wala nang ibang pagpipilian kundi protektahan ang negosyo at mga customer.

Sa ganitong konteksto, tingnan natin ang ilan sa mga pinaka-high-profile na kaso ng cybercrime kung saan nagbayad ang mga kumpanya ng ransom at ang mga pangyayaring sumunod.

1. CNA Financial Corp (CNA )

Isa sa pinakamalaking kompanya ng insurance sa US, ang CNA Finance Corp., ay naging biktima ng ransomware attack noong Marso 2021. Nagbayad ito ng ransom na $40 milyon sa Bitcoin (BTC), ang pinakamalaking inihayag na payout sa ransomware kailanman, upang maibalik ang kontrol matapos ma-lock out mula sa kanilang mga sistema sa loob ng dalawang linggo.

Ang pag-atake ay nagmula sa isang grupong cybercriminal na tinatawag na Phoenix, na unang humiling ng ransom na 999 BTC (humigit-kumulang $55 milyon noong panahong iyon) bago ito itaas sa 1099 BTC, na nagsasabing:

“Nasasayang ang oras. Tumaas ang gastos.”

Ipinahayag ng mga attacker na mahalaga ang data na kanilang hawak at na “Mabigat ang magiging epekto kung ilalantad.” Ang ransom ay hiniling kapalit ng hindi paglalathala ng pagnanakaw, pagbabalik ng data, pagtanggal ng mga kopya ng ninakaw na data, at pagpapanumbalik ng lahat.

Paano nga ba nangyari ang breach? Dahil ito ay dahil sa isang maliit na lapse sa seguridad na nagdulot ng ganitong malaking insidente. Pinaniwala ng mga attacker ang isang empleyado ng CNA na tanggapin ang isang pekeng browser update. Mabilis nilang pinatay ang sistema, at hindi agad natuklasan ang pag-atake.

Umabot ng ilang linggo bago natuklasan ng CNA na sila ay na-hack. Sa panahong iyon, ninakaw ng mga attacker ang data ng mga customer at na-lock ang CNA mula sa kanilang network.

Hindi rin naglabas ng update ang kumpanya, hanggang isang linggo matapos ang pag-atake. Naglabas ito ng update na nagpapaliwanag na na-kontrol ang pag-atake at na nagtatrabaho sila sa pagpapanumbalik ng normal na operasyon ng negosyo. Dalawang linggo pagkatapos, ibinunyag na inilunsad ang mga endpoint detection at monitoring tools bilang bahagi ng proseso ng pagpapanumbalik.

Dalawang buwan matapos ang pag-atake, naglabas ang CNA ng ulat ng insidente, kung saan binanggit na hindi ito isang target na pag-atake. At nang matuklasan ang ransomware, idiniskonekta ng kumpanya ang kanilang mga sistema mula sa network upang pigilan ang pagkalat ng banta.

Ilang buwan pagkatapos nito, inanunsyo ng insurer na natapos na ang kanilang imbestigasyon, na nagpakita na kinopya ng threat actor ang impormasyon bago i-deploy ang ransomware, ngunit mabilis nilang na-recover ang impormasyon at may “walang dahilan upang ipagpalagay na ang impormasyon ay nagamit o magagamit nang mali.”

Ang insurance holding company na nakabase sa Chicago ay kumonsulta rin sa gobyerno, kabilang ang FBI at Office of Foreign Assets Control (OFAC), tungkol sa pag-atake. Sa isang pahayag, sinabi nila, “Sinunod ng CNA ang lahat ng batas, regulasyon, at inilathalang gabay, kabilang ang OFAC’s 2020 ransomware guidance, sa paghawak ng usaping ito,” ngunit hindi nagkomento tungkol sa ransom.

Ayon sa gabay na ito, maaaring magpataw ang ahensya ng civil penalties sa mga taong US na nagbabayad sa mga ipinagbabawal na entidad.

Ipinakita ng imbestigasyon ng kumpanya na isang threat group na tinatawag na Phoenix ang gumamit ng Phoenix Cryptolocker ransomware upang atakihin ang kanilang network. Noong panahong iyon, ang grupong ito ay hindi sakop ng mga sanction ng US.

Ang CNA ay isang kumpanya na may market cap na $13 bilyon, kung saan ang mga share nito, sa oras ng pagsulat, ay nagte-trade sa $48.16, bumaba ng 0.43% year-to-date (YTD) ngunit tumaas ng 32.27% sa nakaraang dalawang taon. Sa gayon, ang earnings per share (EPS) nitong trailing twelve months (TTM) ay 3.28, ang P/E (TTM) ay 14.67, at ROE (TTM) ay 8.98%. Ang mga shareholder ng CNA ay nagtatamasa rin ng maayos na dividend yield na 3.82%.

Ipinapakita ng pinakabagong quarter financials nito ang net income na $274 milyon at core income na $281 milyon.

2. Caesars Entertainment (CZR )

Ang casino‑entertainment company ay nagbayad ng $15 milyon bilang ransom sa isang cybercrime group na tinatawag na Scattered Spider, ang parehong threat actor na nagpatumba sa computer system ng MGM ilang araw matapos matanggap ang ransom payment mula sa Caesars Entertainment. Humiling din ng ransom ang mga attacker mula sa MGM, ngunit hindi ito binayaran.

Sa kaso ng Caesars, ayon sa ulat na isinumite sa U.S. Securities and Exchange Commission (SEC), humiling ang mga attacker ng $30 milyon na ransom, ngunit pumayag ang kumpanya na bayaran lamang ang kalahati nito, na bahagyang sinakop ng mga cyber insurance policy ng kumpanya. Hindi inaasahan ng kumpanya na ang bayad o ang epekto nito ay magkakaroon ng material na epekto sa kanilang kita.

Naganap ang pag-atake noong kalagitnaan ng Agosto 2023 at isinagawa ng Scattered Spider, na kilala rin bilang UNC3944 o Roasted 0ktapus. Ang grupong ito, na binubuo ng mga batang hacker na nakabase sa US at UK na bihasa sa social engineering, ay konektado sa mga pag-atake sa ibang kumpanya, kabilang ang Cloudflare, Twilio, at Okta.

Upang targetin ang Caesars, unang binutas ng mga hacker ang isang external na IT vendor. Para dito, nagkunwaring empleyado ng Caesars ang mga attacker at pinaniwala ang vendor na magbigay ng login credentials sa Okta, ang access management provider ng Caesars.

Nagbigay ito sa mga cybercriminal ng hindi awtorisadong pag-access sa network ng higanteng hotel at casino. Ninakaw nila ang data ng mga loyalty member ng Caesars, kabilang ang mga lisensya sa pagmamaneho at social security number, bago i-deploy ang BlackCat/ALPHV ransomware. Ayon sa kumpanya, walang ebidensya na nakuha ng mga attacker ang mga PIN, password, bank account, o payment card data.

Samantala, iniulat ng Reuters na ang hacking group na Scattered Spider ay sabi na kinuha nila ang anim na terabytes ng data mula sa mga sistema ng Caesars at MGM.

“Nagpatupad kami ng mga hakbang upang matiyak na ang ninakaw na data ay mabubura ng hindi awtorisadong aktor, bagaman hindi namin matitiyak ang resulta na ito.”

– Ayon sa filing ng Caesars

Bagaman hindi ibinunyag ng kumpanya kung ilang customer ang apektado, tinukoy sa filing na halos 42,000 katao ang naapektuhan. Noong panahong iyon, iniulat ng Bloomberg na nagbayad ang Caesars ng ransom matapos i-hack ito ng threat group at bantaang ilabas ang data ng kumpanya.

Pagdating ng huling bahagi ng Setyembre, naibalik ng kumpanya ang normal na operasyon. Gayunpaman, pagkatapos ng insidente, hinarap ng Caesars ang pinsalang pinansyal at reputasyonal pati na rin ang maraming class action lawsuit na nag-aakusa sa kumpanya ng kapabayaan at hindi makatarungang pagyaman dahil sa kabiguan na protektahan ang personal na data ng kanilang mga bisita.

Sa market cap na bahagyang lagpas $6 bilyon, ang mga share ng CZR ay kasalukuyang nagte-trade sa $29.41, bumaba ng 12% ngayong taon. Ang presyo ng stock nito ay malayo rin sa peak noong 2021 na humigit-kumulang $119. Ang EPS (TTM) ay -1.10, at ang P/E (TTM) ay -26.80.

Tungkol sa pinansyal ng kumpanya, ang GAAP net revenues para sa Q1 2025 ay umabot sa $2.8 bilyon at ang Adjusted EBITDA ay tumaas ng 4% YoY sa $43 milyon “na pinasigla ng malalaking kita” sa kanilang Digital segment.

3. Blackbaud Inc. (BLKB )

Noong 2020, sinakop ng mga cybercriminal ang mga server ng Blackbaud, isang kumpanyang nagbibigay ng software para sa mga nonprofit at edukasyonal na pasilidad, na nagkompromiso sa data ng higit sa 13,000 organisasyon. Ang kumpanyang nakabase sa South Carolina ay nagbayad ng ransom na $235,000 sa BTC sa mga hacker sa pangakong burahin ang personal na data ng customer.

Naganap ang cyber attack noong Pebrero ng taong iyon, ngunit hindi ito natuklasan hanggang ilang buwan pagkatapos, noong Mayo. Sa panahong iyon, ang mga apektadong organisasyon ay nakakaranas na ng mga pagkaantala dulot ng pandemya ng COVID-19.

Tinarget ng mga cybercriminal ang mga server ng Blackbaud upang makakuha ng access sa system ng kumpanya. Dahil hindi alam ng Blackbaud ang breach, nakapag-operate nang hindi natuklasan ang mga attacker sa loob ng ilang buwan, kung saan nag-encrypt sila ng mga data set at nag-exfiltrate ng ilang bahagi nito.

Nang sa wakas matuklasan ng provider ng customer relationship management (CRM) services na sila ay na-breach, na nangyari habang nagsasagawa ng routine security checks ang Blackbaud, nagpatupad ito ng mga hakbang upang maiwasan ang karagdagang pinsala.

Noong Hulyo, naglabas ang kumpanya ng pampublikong pahayag tungkol sa pagdanas ng ransomware attack. Inanunsyo ng Blackbaud na maaaring naapektuhan ang data ng mga organisasyon sa edukasyon at third‑sector, na syempre nagdulot ng pagkabigla sa mga apektadong komunidad at nagtaas ng alalahanin tungkol sa seguridad ng sensitibong impormasyon ng donor.

Pinigilan ng kumpanya ang mga kriminal na ganap na i-encrypt ang mga file at i-block ang pag-access sa sistema, ngunit naalis na nila ang isang backup file na naglalaman ng personal na impormasyon.

Tiniyak ng Blackbaud na hindi naapektuhan ang mga detalye ng bank account o payment card, ngunit maraming impormasyon tulad ng mga pangalan, address, contact information, Social Security number, at tinatayang kayamanan, at iba pa, ay talagang nasangkot sa data breach.

Inamin din ng kumpanya na nagbayad ng ransom upang mabawi ang data at protektahan ang interes ng kanilang mga kliyente.

Pagkatapos ng pag-atake, sinimulan ng Federal Trade Commission (FTC) ang isang imbestigasyon at naniniwala na ito ay sanhi ng “hindi maayos na seguridad at data retention practices ng Blackbaud.”

Ayon sa reklamo ng FTC, nabigong ipatupad ng kumpanya ang pinaka-pangunahing mga praktis sa seguridad, hindi sinunod ang sariling patakaran ng Blackbaud hinggil sa data retention, at pinayagan ang mga customer na mag-imbak ng kritikal na data tulad ng bank account sa mga hindi naka-encrypt na field. Ipinahayag din ng ahensya na malaki ang maling representasyon ng Blackbaud sa lawak at tindi ng insidente.

Noong 2024, ang FTC at Blackbaud nakapagkasundo, na hindi naglaman ng pinansyal na parusa kundi nag-utos sa kumpanya na burahin ang data na hindi na kailangan, bumuo ng komprehensibong programa sa seguridad ng impormasyon, at i-notify ang FTC kung magkakaroon ng susunod na data breach.

Ang settlement ng Blackbaud sa SEC, gayunpaman, ay kinabibilangan ng $3 milyon na multa para sa pagbibigay ng maling impormasyon tungkol sa breach. Nagkasundo rin ang kumpanya ng $49.5 milyon kasama ang 50 state attorney generals kaugnay ng mga paglabag sa HIPAA.

Pagdating sa performance ng market ng Blackbaud, ang mga share nito ay kasalukuyang nagte-trade sa $63.76, bumaba ng 13.74% YTD, na naglalagay ng market cap nito sa $3 bilyon. Sa gayon, ang EPS (TTM) ay -5.83 at ang P/E (TTM) ay -10.94.

Sa Q1 2025, nakamit ng kumpanya ang 5.8% na organikong paglago ng kita, na nagrekord ng $271 milyon na revenue. Aktibo rin ang Blackbaud sa pamumuhunan sa inobasyon, partikular sa AI, upang mapalakas ang internal na produktibidad at operasyon ng customer.

4. UnitedHealth Group (UNH )

Ang higanteng health insurance, UnitedHealth Group Incorporated, ay nakararanas ng mahirap na panahon sa nakaraang isa’t kalahating taon. Nagsimula ito noong Pebrero 2024 nang ang kanilang subsidiary, Change Healthcare, ay nakaranas ng cyber attack. 

Ang UnitedHealth Group ay nagpapatakbo sa pamamagitan ng dalawang segment: UnitedHealthcare, na nakatuon sa health insurance, at Optum, na nagbibigay ng technology services, direct healthcare services, at pharmacy care services sa pamamagitan ng Optum Insight, Optum Health, at Optum Rx.

Noong 2022, nakuha ng UnitedHealthGroup ang platform na Change Healthcare at isinama ito sa Optum Insight. Ang kumpanya ay nagpoproseso ng hanggang 15 bilyong medical claim bawat taon, na humigit-kumulang 40% ng lahat ng claim, kaya maari mong isipin ang gulo na maidudulot ng isang pag-atake sa Change Healthcare.

Noong Pebrero, na-infect ng ransomware ang mga sistema ng Change Healthcare, na nagresulta sa hindi ma-access na mga ito at nagdulot ng kaguluhan sa sistemang pangkalusugan ng US. Hindi hanggang ilang buwan pagkatapos, noong Nobyembre, nagawang ibalik ng kumpanya ang buong operasyon.

Tungkol sa nangyari, sinabi ng dating CEO na si Andrew Witty sa Kongreso na nagsimula ang pag-atake noong Peb. 12. Gumamit ang mga attacker ng compromised credentials upang makakuha ng access sa Change Healthcare Citrix portal, na ginagamit para sa remote desktop connections at walang 2FA. Isang maliit na pagkakamali na nagkakahalaga ng bilyong dolyar sa UNH.

Mula doon, nagsimulang mangolekta ng data ang mga attacker at ilang araw pagkatapos, nag-deploy ng ransomware, na nagsimula ng encryption ng mga sistema ng kumpanya. Bilang tugon, idiniskonekta ng UnitedHealth ang mga data center ng Change Healthcare mula sa network upang pigilan ang pagkalat ng ransomware attack sa iba pang sistema at sa labas na entidad.

Tungkol sa mga attacker, inako ng BlackCat/ALPHV cybercrime gang ang responsibilidad, na nagsabing nag-exfiltrate sila ng 6TB ng kumpidensyal na data. Kabilang sa ninakaw na data ang mga medikal na rekord, personal na impormasyon, at mga dokumentong pinansyal. Kumpirmado ng UnitedHealth Group na humigit-kumulang 190,000,000 indibidwal ang naapektuhan ng breach na ito.

Noong Marso 2024, nagbayad ang kumpanya ng $22 milyon na ransom, ngunit iniulat na ang BlackCat ransomware group ay hindi binayaran ang affiliate na nagsagawa ng pag-atake, na pagkatapos ay nakipagtulungan sa isa pang ransomware group, RansomHub, na sinubukang extort ng karagdagang pera mula sa UnitedHealth. Hindi pa alam kung nagbayad din ang UnitedHealth para sa ikalawang pagkakataon.

Ayon sa ulat ng UnitedHealth Group noong Enero 2025, nagresulta ang insidente sa kabuuang taunang pagkawala na $3.09 bilyon. 

Habang patuloy na hinaharap ng kumpanya ang mga epekto ng pinakamalaking cyberattack sa kasaysayan ng healthcare, hindi gaanong naapektuhan ang presyo ng stock ng kumpanya dahil umabot ang UNH stock sa all‑time high na $625 kada share noong Nobyembre 2024 at market cap na $575 bilyon.

Ngunit ngayon, anim na buwan pagkatapos, bumabagsak na ito. Ang presyo ng share ng UnitedHealth, na may $292 bilyong market cap, ay bumaba ng 36.43% YTD. Sa kasalukuyan ito ay nagte-trade sa $321.58, 49% na pagbaba mula sa ATH nito.

Bukod sa mas malaki kaysa inaasahang pinsala mula sa cyberattack, hinaharap din ng kumpanya ang pagkawala ng pamunuan, kung saan napatay ang UnitedHealthcare CEO na si Brian Thompson sa investor day sa New York City, ang kumpanya ay hindi naabot ang inaasahang kita, at ang Department of Justice ay nagsasagawa ng criminal investigation sa mga praktis ng UHG sa Medicare Advantage.

Upang tingnan ang kakayahang kumita at kahusayan ng kumpanya, ito ay may EPS (TTM) na 23.89, P/E (TTM) na 13.46, at ROE (TTM) na 24.33%, habang ang dividend yield na binabayaran ay 2.61%. Para sa Q1 2025, ang kita nito ay lumago sa $109.6 bilyon, at ang cash flow mula sa operasyon ay $5.5 bilyon.

5. AT&T (T )

Ang nangungunang global provider ng telecommunications at technology services ay nakaranas ng dalawang malalaking data breach noong 2024.

Ang una ay nangyari noong Marso, na naapektuhan ang pagitan ng 50 hanggang 70 milyong kasalukuyan at dating customer nito. Ang mga ulat na ang data ng kumpanya ay kumakalat sa dark web ay unang lumabas sa kalagitnaan ng Marso at pagkatapos ay nagtagal ng ilang linggo bago nakumpirma ng AT&T na ang impormasyong iyon ay tunay na pagmamay‑ari ng kanilang mga customer.

Kabilang sa mga impormasyong nakompromiso ang buong pangalan ng mga customer, petsa ng kapanganakan, email, numero ng telepono, address, social security number, at AT&T account number at passcode. Sinabi ng kumpanya ang sumusunod sa mga apektadong indibidwal:

“Sa aming pinakamabuting kaalaman, hindi kasama ang personal na financial information at call history.”

Pinaniniwalaang ang data ay kumakalat online sa loob ng ilang taon na, ngunit hindi alam ang pinagmulan nito, at itinatanggi ng AT&T na nagmula ito sa kanilang sariling mga sistema.

Pagkatapos, noong Abril, naging biktima ito ng breach na nakompromiso halos lahat ng kanilang landline, cellular, at wireless network customers. Ilang buwan pagkatapos, noong Hulyo, opisyal na inihayag ng AT&T ang breach.

Ang breach na ito ay konektado sa isang Amerikanong hacker, miyembro ng grupong ShinyHunters, na humiling ng ransom na $1 milyon ngunit napagkasunduan ang mas mababang halaga. Nagbayad ang kumpanya ng $370,000 na ransom sa Bitcoin noong Mayo upang maiwasan ang paglabas ng data. Nagbigay ang attacker ng video sa kumpanya bilang patunay ng pagbura ng data.

Sa pag-atakeng ito, ang mga rekord ng tawag at text interaction ng customer noong Enero 2, 2023, at mula Mayo 1, 2022 hanggang Oktubre 31, 2022 ay na-exfiltrate. Sa pagkakataong ito, ang data ay nagmula sa ‘workspace’ ng kumpanya sa isang third‑party cloud platform. 

Bagaman hindi naapektuhan ang mismong nilalaman, maaaring tukuyin ng mga nakompromisong rekord ang iba pang numero ng telepono na kinontak ng mga apektadong customer, paliwanag ng kumpanya. Nag-notify ang AT&T ng humigit‑kumulang 110 milyong customer tungkol sa insidente. 

Sa pagsulat nito, ang mga share ng kumpanyang may $200 bilyong market cap ay nagte-trade sa $27.78, tumaas ng 22% YTD. Ang EPS (TTM) nito ay 1.63, ang P/E (TTM) ay 17.04, at ROE (TTM) ay 11.28%. Ang inaalok na dividend yield ay kaakit‑akit na 4%.

Sa pananalapi, ang revenue nito sa Q1 2025 ay $30.6 bilyon, net income ay $4.7 bilyon, at free cash flow ay $3.1 bilyon.

Kaya, tulad ng nakita natin, tumatama ang ransomware attacks sa mga kumpanya sa iba’t ibang sektor. At bagaman ang pagbabayad ng ransom ay maaaring makatulong protektahan ang kumpanya at mga customer nito, hindi ito palaging ganun. Sa katunayan, nagbubukas ito ng insentibo para sa kriminal na gawain. Hindi pa nabanggit ang pinsalang pinansyal at reputasyonal na idinulot nito sa kumpanya.

Ang kailangang gawin ng mga kumpanya ay magpatupad ng proactive na hakbang sa seguridad upang maiwasan ang mga breach mula sa simula. Kabilang dito ang regular na pagsasagawa ng security assessments, patuloy na pagmamanman para sa posibleng banta, pagpapanatiling updated ang mga sistema, pagkakaroon ng backup ng data at pagprotekta sa mga file na iyon, paglalagay ng matibay na data encryption, pagbibigay ng angkop na pagsasanay sa mga empleyado, at pagpapanatili ng epektibong kahandaan sa incident response.

Sa huli, ang tunay na depensa laban sa ransomware ay hindi negosasyon kundi paghahanda, kaya mas mainam na mamuhunan sa cybersecurity resilience ngayon!

I‑click dito para sa listahan ng nangungunang cybersecurity stocks.