Difesa di rete contro il ransomware AI: una nuova priorità mentre le tattiche cambiano

Una nuova ricerca di Check Point evidenzia un cambiamento nel modo in cui operano gli autori di ransomware e perché il vecchio approccio basato su backup e ripristino non è più sufficiente da solo. I dati mostrano qualcosa di controintuitivo: mentre la tecnologia di backup e ripristino è migliorata, gli attaccanti non si sono arresi. Si sono adattati. I tassi di pagamento del riscatto sono diminuiti per sei anni consecutivi, passando da circa l'85% nel 2019 a circa il 23% oggi, e questo calo sta rimodellando la strategia degli attaccanti in modi che esercitano maggiore pressione sulle difese a livello di rete, come la segmentazione e l'accesso remoto controllato.

Questo è rilevante per chiunque sia responsabile della protezione dei sistemi aziendali, ed è rilevante per la più ampia discussione sulla difesa di rete contro il ransomware AI, perché gli strumenti che un tempo sembravano opzionali (segmentazione, accesso protetto da VPN, networking con privilegi minimi) stanno diventando centrali piuttosto che complementari.

Come l'AI sta abbassando la barriera all'ingresso

La ricerca di Check Point indica l'intelligenza artificiale come fattore che riduce le competenze tecniche necessarie per gestire un'operazione ransomware. Compiti che un tempo richiedevano conoscenze specializzate di codifica, sviluppo di malware personalizzato o una profonda familiarità con gli ambienti target possono ora essere accelerati o automatizzati con strumenti AI. Ciò non significa necessariamente che l'AI stia inventando nuove categorie di attacco dall'oggi al domani, ma significa che più persone possono partecipare a operazioni ransomware con meno esperienza, e che i gruppi esistenti possono operare più velocemente e su scala più ampia.

Questa barriera abbassata si collega a un modello più ampio già visibile nel panorama ransomware. Come riportato nell'articolo su come l'ecosistema ransomware si sta frammentando in dozzine di gruppi attivi, il settore non si sta consolidando attorno a pochi attori dominanti. Al contrario, si sta frammentando in molte operazioni più piccole e più agili. Gli strumenti AI probabilmente accelerano questa frammentazione rendendo più facile per gruppi più piccoli o più recenti lanciare attacchi credibili senza le risorse che un tempo rappresentavano una barriera.

Perché il calo dei tassi di pagamento spinge gli attaccanti verso il furto di dati

Il calo dei tassi di pagamento del riscatto non è un segnale che il ransomware stia svanendo. È un segnale che la sola crittografia ha smesso di essere una fonte di guadagno affidabile. Quando le organizzazioni possono ripristinare i sistemi dai backup senza pagare, la leva che la crittografia un tempo forniva evapora. Gli attaccanti hanno risposto spostando l'enfasi verso il furto di dati e l'estorsione basata sulla minaccia di esposizione pubblica, piuttosto che fare affidamento esclusivamente sul blocco dei file.

Questa è una distinzione significativa per i difensori. Una strategia ransomware basata su "abbiamo buoni backup, quindi siamo coperti" affronta la metà della minaccia legata alla crittografia, ma fa poco per impedire che i dati vengano copiati ed esfiltrati prima ancora che avvenga la crittografia. Se gli attaccanti possono muoversi lateralmente attraverso una rete, trovare archivi di dati sensibili ed estrarre informazioni silenziosamente, i backup diventano irrilevanti per quella parte dell'attacco. La minaccia di estorsione passa da "pagateci per riavere i vostri dati" a "pagateci o pubblicheremo ciò che abbiamo già preso".

Dove i backup falliscono: il caso della segmentazione e dell'accesso controllato

È qui che l'architettura di rete diventa importante quanto la pianificazione del ripristino. I backup proteggono dalla perdita di dati, ma non fanno nulla per impedire a un attaccante di navigare in una rete piatta, saltare tra sistemi e raggiungere dati a cui non avrebbe mai dovuto avere accesso. Due controlli contano di più in questo contesto:

La segmentazione della rete limita quanto lontano può muoversi un attaccante una volta ottenuto l'accesso iniziale. Se un dispositivo compromesso si trova in un segmento isolato con percorsi ristretti verso i sistemi sensibili, il raggio d'esplosione di una violazione si riduce drasticamente, anche se strumenti assistiti dall'AI hanno aiutato l'attaccante a entrare rapidamente.

Il controllo degli accessi basato su VPN e identity-aware limita chi e cosa può raggiungere le risorse interne. Piuttosto che consentire un ampio accesso alla rete una volta che qualcuno è all'interno del perimetro, gli approcci moderni agli accessi verificano continuamente identità e postura del dispositivo e instradano il traffico attraverso canali controllati e crittografati. Questo riduce le possibilità che una singola credenziale compromessa o un endpoint diventi un gateway per l'intera rete.

Insieme, questi controlli affrontano la parte della catena di attacco che i backup non possono: la fase di ricognizione e movimento laterale in cui avviene effettivamente il furto di dati.

Cosa significa per te

Per i team IT e di sicurezza, il messaggio è semplice: la pianificazione del ripristino e il controllo degli accessi devono essere trattati come complementari, non intercambiabili. Buoni backup proteggono da tempi di inattività e perdita di dati dovuti alla crittografia, ma non fermano il furto, e il furto è sempre più la leva su cui fanno affidamento gli attaccanti. Rivedere quanto sia piatta o segmentata la tua rete e quanto strettamente sia controllato l'accesso remoto e interno è un passo pratico successivo, indipendentemente dalle dimensioni dell'azienda.

Per i singoli utenti e le organizzazioni più piccole, il principio si riduce anche a livello individuale. Limitare ciò che un singolo dispositivo o account può raggiungere, utilizzare forti controlli di accesso per le connessioni remote ed essere scettici riguardo ad attività insolite sugli account riduce tutti le probabilità che un singolo punto di ingresso compromesso si trasformi in una violazione su vasta scala.

Conclusioni operative

  • Non fare affidamento solo sui backup; affrontano la crittografia ma non il furto di dati, che ora è una tattica di estorsione primaria.
  • Verifica la segmentazione della rete per limitare il movimento laterale se un dispositivo o account viene compromesso.
  • Rafforza i controlli di accesso VPN e remoto con verifica dell'identità piuttosto che con fiducia perimetrale ampia.
  • Rimani informato su come si evolvono i gruppi ransomware, poiché gli strumenti AI stanno abilitando operazioni più numerose, più piccole e più veloci in un ecosistema frammentato.
  • Tratta la difesa di rete contro il ransomware AI come una strategia a strati continua, non un aggiornamento una tantum.

Mentre l'AI continua a rimodellare l'economia e la meccanica del ransomware, le organizzazioni che reggeranno meglio saranno quelle che tratteranno la difesa di rete, non solo il ripristino, come la loro prima linea di protezione.