身代金払っちゃった、というのはこの場合はしょうがない気はする。誘拐事件では選択肢としては普通だし、今回の場合はバックアップが無いことが致命的なわけだから。
払わないでいられる企業もあるのはバックアップのおかげで影響が最低限だからだし。ここで問題があるとすれば、あちら側の信用性を確認する前に支払っちゃたことなんじゃないかな。一回で済ませる保証を交渉過程で明確にすることが出来なかった、或いはバックアップが無いことなどを見透かされて手のひらクルーされたとか。セキュリティ軽視、インシデントレスポンスの不備、交渉の失敗、と何重にも問題がありそうだからちょっと一概に言えない感じだが。