Oltre 50 violazioni ransomware rivelano un nuovo manuale di furto dati

Un catalogo di oltre 50 attacchi ransomware mostra che il modello sta cambiando

Una nuova raccolta di esempi di attacchi ransomware, che copre decine di gravi violazioni e i loro costi finanziari, mette in luce qualcosa a cui vale la pena prestare attenzione oltre ai semplici numeri: i meccanismi di questi attacchi si stanno evolvendo in modi che mettono i dati personali a rischio maggiore di quanto abbia mai fatto la sola crittografia.

La versione classica del ransomware, spesso chiamata crypto-ransomware, funziona esattamente come la maggior parte delle persone immagina. Un codice dannoso si infiltra in una rete e crittografa i file utilizzando algoritmi robusti, in genere AES-256 per bloccare i dati stessi e RSA-2048 per proteggere la chiave di crittografia. Una volta completato questo processo, i file sono effettivamente irrecuperabili senza la chiave privata dell'aggressore. Alle vittime viene quindi mostrata una richiesta di riscatto che esige un pagamento, di solito in Bitcoin o Monero, spesso accompagnata da un conto alla rovescia e dalla minaccia che la chiave verrà distrutta se la scadenza non viene rispettata.

È questo modello ad aver costruito la reputazione che il ransomware ha oggi: un ospedale bloccato, un'amministrazione comunale paralizzata, un produttore impossibilitato a spedire merci. Ma il catalogo di esempi indica una seconda tattica, più silenziosa, che sta guadagnando terreno parallelamente, una che non si basa affatto sulla crittografia.

L'estorsione tramite furto di dati non ha bisogno di bloccare un solo file

Invece di rendere illeggibili i file, alcuni aggressori ora si limitano a copiare dati sensibili da una rete prima che qualcuno se ne accorga, per poi minacciare di pubblicarli o venderli se non viene effettuato il pagamento. Non c'è un conto alla rovescia che scorre su un desktop bloccato, né un reparto IT che corre a ripristinare dai backup. La leva non è l'interruzione, ma l'esposizione.

Questa distinzione è importante per chiunque pensi alla propria privacy, non solo per le organizzazioni che gestiscono budget per la sicurezza. Il ransomware basato sulla crittografia è, in fondo, un problema di disponibilità: i dati esistono ancora, solo che non puoi accedervi finché non vengono ripristinati o non viene pagato il riscatto. L'estorsione tramite furto di dati è un problema di riservatezza: le informazioni sono già andate via, già depositate sul server di un aggressore, e nessun pagamento del riscatto può annullare questo fatto. Anche le organizzazioni con backup solidi e piani di ripristino rapidi non hanno una vera risposta a una minaccia interamente basata sull'esposizione. I gruppi che gestiscono operazioni di ransomware-as-a-service, del tipo descritto nell'articolo su LockBit 5.0 e le sue operazioni dopo l'Operazione Cronos, hanno adottato proprio questo approccio a doppia minaccia: crittografa ciò che puoi, ruba ciò che non puoi, e ricatta su entrambi i fronti.

Perché la richiesta di riscatto è solo una parte della storia

La copertura mediatica degli attacchi ransomware tende a fissarsi sulla cifra del riscatto in sé, ed è facile capire perché: un importo specifico in dollari è un titolo chiaro. Ma il costo finanziario di un attacco spesso riflette solo la parte della risposta: incident response, tempi di inattività, spese legali, multe regolamentari e il pagamento del riscatto, se effettuato. Quello che questa cifra non coglie è il danno alla privacy a valle per le persone i cui dati erano in quel sistema: pazienti con cartelle cliniche esposte, clienti i cui dettagli di pagamento sono stati copiati, dipendenti le cui informazioni personali si trovavano in un database HR che è stato esfiltrato.

Questa è la vera implicazione per la privacy nascosta all'interno di questi cataloghi di violazioni. Un'azienda può ripristinare i propri sistemi, pagare le multe e andare avanti. L'individuo a cui sono stati rubati i dati non ottiene lo stesso ripristino pulito. Le sue informazioni possono circolare indefinitivamente una volta uscite dalla rete originale, comparendo in liste di credential stuffing, campagne di phishing o tentativi di furto d'identità molto tempo dopo che l'attacco originale è scomparso dalle notizie.

Cosa significa questo per te

Se sei un consumatore, il punto non è che devi difenderti personalmente dai ransomware, è un problema organizzativo per le aziende che detengono i tuoi dati. Ma lo spostamento verso l'estorsione tramite furto di dati significa che le notifiche di violazione meritano più attenzione di quanto normalmente ricevono, anche quando un'azienda dice che non è stato pagato alcun riscatto o che i sistemi non sono stati interrotti. "Niente è stato crittografato" non significa più "niente è stato preso".

Se lavori nel settore IT o della sicurezza, la lezione di questi oltre 50 esempi è che la strategia di backup da sola non è più sufficiente. La pianificazione del ripristino deve tenere conto dell'esposizione, non solo del tempo di inattività, il che significa crittografare i dati sensibili a riposo, limitare ciò a cui un singolo account compromesso può accedere e trattare il rilevamento dell'esfiltrazione con la stessa serietà del rilevamento del ransomware stesso.

Passi concreti che vale la pena intraprendere

Alcune abitudini fanno molta strada, indipendentemente da quale lato di una violazione ti trovi. Gli individui dovrebbero monitorare le notifiche di violazione relative ai servizi che utilizzano, abilitare l'autenticazione a più fattori ovunque sia offerta e trattare con sospetto i messaggi non richiesti che fanno riferimento a dettagli dell'account, poiché i dati rubati spesso alimentano successivi tentativi di phishing. Le organizzazioni dovrebbero presumere che qualsiasi intrusione riuscita possa includere il furto di dati anche in assenza di una richiesta di riscatto visibile, e costruire piani di risposta che affrontino la divulgazione e la protezione dei clienti, non solo il ripristino dei sistemi.

L'evoluzione del ransomware da una minaccia di pura crittografia a un'economia di estorsione più ampia ci ricorda che la lotta non riguarda solo il mantenere i sistemi attivi. Si tratta di mantenere le informazioni private in primo luogo, e questa è una responsabilità che va ben oltre il momento in cui appare una richiesta di riscatto sullo schermo.