Il 62% delle vittime di ransomware sono manager, non personale IT

Le gang ransomware stanno riscrivendo la loro lista di obiettivi

Per anni, il pensiero comune sul ransomware era semplice: gli aggressori prendono di mira gli amministratori IT, le persone con le chiavi della rete. Nuove scoperte suggeriscono che questa ipotesi è superata. Secondo una recente ricerca, il 62% delle vittime di ransomware ricopre oggi ruoli dirigenziali o superiori, un chiaro segnale che gli aggressori si stanno deliberatamente spostando verso i livelli alti dell'organigramma, anziché concentrarsi sul personale tecnico.

Questo cambiamento è rilevante perché modifica la platea di chi deve preoccuparsi del rischio ransomware. Non è più solo un problema del team di sicurezza o dell'help desk. Se gestisci un team, approvi budget o hai accesso a file sensibili come parte del tuo lavoro, ora sei pienamente nel mirino.

Perché i manager sono ora bersagli principali

La logica dietro questo spostamento è chiara, se si considera come funzionano realmente le operazioni ransomware. Gli aggressori non cercano solo di violare i sistemi; cercano di ottenere un riscatto. Manager e dipendenti con ruoli senior hanno in genere un accesso più ampio a dati finanziari, documenti dei clienti, fascicoli del personale e comunicazioni interne rispetto a un tipico amministratore tecnico che gestisce un unico sistema. Questo accesso rende i loro account più preziosi se compromessi e li trasforma anche in leve di pressione più efficaci durante una trattativa.

C'è anche un fattore umano in gioco. Spesso sono i dipendenti senior quelli che le aziende sentono l'urgenza di proteggere, sia per reputazione che per aspetti legali. Un aggressore che può dimostrare di avere accesso alla casella di posta o ai file di un manager dispone di una leva che va oltre il semplice blocco del sistema. Diventa una minaccia per la reputazione, per i rapporti con i clienti e, in alcuni casi, per la conformità normativa.

Questo spostamento degli obiettivi riflette anche la professionalizzazione dei gruppi ransomware. Molti operano oggi meno come hacker solitari e più come vere e proprie imprese organizzate, conducendo ricerche su chi, all'interno dell'azienda bersaglio, abbia maggiori probabilità di avere accessi preziosi e di sentire pressioni per favorire il pagamento. La diffusione del ransomware-as-a-service ha solo accelerato questa tendenza, consentendo a gruppi criminali con minori competenze tecniche di noleggiare strumenti e tattiche che un tempo erano appannaggio esclusivo di crew specializzate. Vale la pena notare che molto di ciò che viene commercializzato nei forum del dark web come "protezione" o accesso privilegiato è di per sé inaffidabile e strumentale, uno schema analizzato in Le 'vendite di sicurezza' sul dark web sono la vera truffa.

Le ricadute sulla privacy per dipendenti e aziende

Quando l'account o il dispositivo di un manager viene compromesso, le conseguenze per la privacy si estendono ben oltre il singolo individuo. I manager hanno spesso accesso a dati personali dei dipendenti, contratti con i clienti, documenti finanziari e, a seconda del settore, talvolta a informazioni sanitarie o legali. Un singolo account compromesso può esporre l'intero patrimonio di dati sensibili di un'organizzazione, non solo la posta di una persona.

Non si tratta di un rischio ipotetico. Violazioni su larga scala con furto di dati aziendali hanno ripetutamente dimostrato quanto possa essere dannoso quando gli aggressori mettono le mani su documenti interni, come si è visto nel data breach di Novo Nordisk con 1,3 TB di dati di studi clinici rubati. Una volta che dati come questi vengono esfiltrati, il danno non si limita al pagamento del riscatto; può significare l'esposizione permanente di informazioni riservate, controlli da parte delle autorità di regolamentazione e danni reputazionali a lungo termine per l'organizzazione coinvolta.

Le forze dell'ordine hanno intensificato le azioni contro gli operatori ransomware, e le condanne arrivano, come dimostra la sentenza dettagliata in Gli hacker di TfL Jubair e Flowers condannati a cinque anni per un attacco da 29 milioni di sterline. Ma l'azione penale arriva quando il danno è già fatto. La prevenzione resta molto più efficace di qualsiasi risposta legale successiva.

Cosa significa per te

Se ricopri un qualsiasi ruolo dirigenziale o di supervisione, questa tendenza dovrebbe indurti a rivalutare le tue abitudini di sicurezza personali, non solo le policy IT aziendali. Gli aggressori scommettono sul fatto che i dipendenti senior siano meno inclini a seguire protocolli di sicurezza rigorosi rispetto ai professionisti IT, e più propensi ad avere accessi ampi e non monitorati a sistemi sensibili.

Alcuni accorgimenti pratici fanno la differenza. Utilizza password univoche e robuste per gli account di lavoro, attiva l'autenticazione a più fattori ovunque sia offerta e sii prudente con allegati o link inattesi, anche se sembrano provenire da colleghi o fornitori. I manager dovrebbero inoltre promuovere una formazione regolare sulla consapevolezza del phishing nei propri team e verificare che la propria organizzazione disponga di un piano di risposta agli incidenti chiaro e testato, la cui esecuzione non dipenda esclusivamente dal personale IT.

Stare al passo con il cambiamento

Il fatto che il ransomware prenda di mira i manager anziché il personale tecnico è un segno di quanto queste operazioni siano diventate calcolate. Gli aggressori seguono l'accesso, non la qualifica formale. Per i dipendenti a ogni livello, ma in particolare per chi ricopre ruoli di leadership, questo significa considerare la consapevolezza della cybersicurezza come parte integrante del proprio lavoro, e non come responsabilità di qualcun altro. Le organizzazioni che si adatteranno più rapidamente a questo cambiamento, formando i manager insieme al personale IT e limitando gli accessi non necessari ai dati sensibili, saranno quelle in grado di evitare di diventare la prossima statistica di questa tendenza in crescita.