Pagare un gruppo ransomware non è mai stata una garanzia di sicurezza, ma una nuova ricerca quantifica con precisione quanto spesso questo azzardo fallisca. Secondo recenti scoperte, il 58% delle organizzazioni britanniche colpite da ransomware ha pagato il riscatto richiesto e il 22% di questi paganti è stato colpito nuovamente con un secondo tentativo di estorsione. Il messaggio per i team IT, e per chiunque abbia dati personali che transitano attraverso reti aziendali, è che il vecchio manuale del "paga e vai avanti" non regge più.

La nuova realtà: pagare non pone fine all'attacco

Il ransomware seguiva un copione abbastanza prevedibile: gli aggressori cifrano i tuoi file, tu paghi, ricevi una chiave di decrittazione e l'incidente è chiuso. Quel copione è stato riscritto. Il passaggio alla doppia estorsione, in cui gli aggressori rubano i dati prima di cifrarli e minacciano di divulgarli indipendentemente dal pagamento, significa che una transazione di riscatto non risolve nulla. La cifra del 22% che mostra estorsioni ripetute contro organizzazioni che hanno già pagato conferma ciò che molti ricercatori di sicurezza avvertono da anni: una volta che i tuoi dati sono usciti, non hai più alcun controllo reale su cosa accade loro. Un gruppo criminale che è stato pagato una volta ha tutti gli incentivi per tornare, che si tratti dello stesso attore o di uno diverso che opera da un accesso rivenduto.

Per gli amministratori Windows in particolare, questo cambia il calcolo intorno alla risposta agli incidenti. Il ripristino dal backup veniva considerato l'alternativa al pagamento. Ora deve essere considerato l'aspettativa di base, perché il pagamento non ferma in modo affidabile l'emorragia sul fronte del furto di dati. Backup offline testati, solidi controlli di sicurezza delle identità e un piano di ripristino documentato sono ciò che realmente interrompe il ciclo, non un bonifico bancario verso un portafoglio anonimo.

L'IA sta potenziando la compromissione iniziale

L'altro tema principale in questa ricerca è il ruolo crescente dell'IA nelle prime fasi di un attacco. La compromissione iniziale, il momento in cui gli aggressori ottengono il primo punto d'appoggio in una rete, è dove gli strumenti di IA stanno avendo, secondo quanto riferito, l'impatto maggiore. Ricognizione più rapida, esche di phishing più convincenti e identificazione più veloce delle debolezze sfruttabili riducono la finestra che i difensori hanno per notare qualcosa di sbagliato prima che venga fatto un danno.

Questo è importante perché la maggior parte delle difese ransomware sono ancora costruite sul presupposto che gli aggressori abbiano bisogno di tempo per muoversi attraverso una rete prima di causare danni gravi. Se l'IA sta comprimendo quella tempistica, le organizzazioni che si affidano esclusivamente a cicli di patch periodici e monitoraggio manuale sono sempre più esposte. Ciò rafforza il motivo per cui la sicurezza delle identità, cose come l'autenticazione a più fattori, la gestione degli accessi privilegiati e il rilevamento rapido delle anomalie, è diventata importante quanto la protezione degli endpoint.

Perché il furto di dati è la vera storia della privacy

Mentre i file cifrati ottengono la maggior parte dei titoli dei giornali, il modello della doppia estorsione mette in luce qualcosa che importa di più alla gente comune: i dati stessi. Ogni incidente ransomware che coinvolge record HR rubati, database dei clienti o file dei dipendenti è, nella sua essenza, un incidente di privacy. Si consideri come la violazione del sistema HR di Statistics South Africa ha esposto i dati dei dipendenti, un caso che illustra come i sistemi interni che detengono informazioni personali sensibili possano diventare il vero bersaglio, non solo un danno collaterale di un attacco più ampio. Quando i gruppi ransomware esfiltrano questo tipo di dati prima di bloccare i sistemi, pagare il riscatto non fa nulla per annullare il fatto che nomi, stipendi, indirizzi o dettagli sanitari potrebbero già trovarsi su un server criminale, o già in vendita.

Questo è il tassello spesso assente dalla copertura puramente tecnica del ransomware: il secondo tentativo di estorsione non è solo un grattacapo aziendale, è una seconda ondata di esposizione per gli individui i cui dati sono stati rubati in primo luogo. Dipendenti, clienti e pazienti raramente hanno voce in capitolo sul fatto che la loro organizzazione paghi, eppure sopportano il rischio continuo di furto d'identità, phishing mirato o frodi molto tempo dopo che i riflettori si sono spenti.

Cosa significa questo per te

Se lavori nell'IT o nella sicurezza, questi dati sono un chiaro segnale per smettere di trattare il pagamento del riscatto come una risoluzione e iniziare a trattarlo come un ripiego di ultima istanza. I piani di ripristino, i backup immutabili e le difese incentrate sull'identità meritano più budget e tempo di test di quanto ne ricevano tipicamente. Se sei un dipendente o cliente di un'organizzazione che ha divulgato un incidente ransomware, presumi che i tuoi dati possano essere stati copiati anche se ti viene detto che i sistemi sono stati "ripristinati". Monitora i tuoi account, fai attenzione ai tentativi di phishing che fanno riferimento alla violazione e considera il monitoraggio del credito se sono stati coinvolti dati personali o finanziari sensibili.

Spunti pratici

Le organizzazioni dovrebbero verificare regolarmente l'integrità dei backup e assicurarsi che i backup siano veramente isolati dalla rete di produzione. L'autenticazione a più fattori e l'accesso con privilegi minimi dovrebbero essere non negoziabili su tutti i sistemi, non solo quelli critici. I piani di risposta agli incidenti devono affrontare esplicitamente lo scenario della doppia estorsione, comprese le fasi legali e di comunicazione per quando i dati rubati emergono pubblicamente. Gli individui interessati da qualsiasi divulgazione di ransomware dovrebbero cambiare le password, abilitare l'MFA ove disponibile e rimanere vigili per le truffe successive. I dati mostrano chiaramente che la seconda estorsione ransomware non è più un raro caso limite, sta diventando una parte standard del ciclo di vita dell'attacco e la preparazione è l'unica vera difesa.