Quando uma empresa decide pagar uma exigência de ransomware, existe uma suposição natural de que o assunto termina ali, o dinheiro se foi e nada mais pode ser aprendido. Na maioria dos casos, o pagamento em si não pode ser revertido, mas o registro de para onde ele foi depois permanece totalmente visível, e esse registro tem valor real.
Trabalhando da carteira para frente
Uma investigação retrospectiva começa pela carteira que recebeu o resgate e acompanha tudo o que ela fez depois, em vez de tentar identificar o atacante diretamente. Isso pode revelar se a mesma carteira, ou uma carteira conectada a ela, está ligada a outros incidentes conhecidos, e onde os fundos finalmente se acomodaram.
Para quem esse trabalho costuma ser feito
Esse tipo de investigação costuma ser solicitado por seguradoras avaliando um sinistro de incidente cibernético, ou por assessoria jurídica avaliando os próximos passos, e não pela empresa esperando uma recuperação direta. Ele fortalece a documentação em torno de um sinistro ou de um encaminhamento às autoridades, mesmo quando não devolve o pagamento em si.
A ação mais útil que uma empresa pode tomar imediatamente após pagar um resgate é registrar o identificador exato da transação e o endereço de carteira de destino antes que o incidente seja encerrado internamente.