Le gang di ransomware stanno sempre più evitando i nomi noti e prendendo di mira le aziende intermedie. Nuovi dati della società di risk intelligence Black Kite mostrano che gli attacchi ransomware ai distributori sono concentrati tra le aziende del mercato intermedio, non tra le più grandi imprese del settore. Secondo la ricerca, il 42% delle 2.289 aziende di distribuzione monitorate da Black Kite si colloca al di sopra della sua soglia critica per la suscettibilità ai ransomware, un segnale d'allarme che il livello intermedio del settore è pericolosamente esposto.

Perché i distributori del mercato intermedio sono il nuovo punto debole dei ransomware

Il fenomeno non è esclusivo della distribuzione. La più ampia ricerca di Black Kite sui ransomware nel mercato intermedio ha rilevato che le aziende con ricavi compresi tra 10 milioni e 1 miliardo di dollari hanno rappresentato circa il 73% degli incidenti ransomware divulgati pubblicamente dal 2023. Il manifatturiero è stato il settore più preso di mira, rappresentando più di un quarto delle vittime del mercato intermedio, ma la distribuzione segue da vicino.

La ragione è semplice. Le grandi imprese di solito dispongono di team di sicurezza dedicati, piani di risposta agli incidenti maturi e budget per strumenti di monitoraggio avanzati. I distributori del mercato intermedio spesso operano con personale IT ridotto, sistemi legacy e programmi di sicurezza che non hanno tenuto il passo con la scala delle loro operazioni. Eppure queste aziende si trovano frequentemente al centro di catene di approvvigionamento complesse, spostando merci, fatture e dati sensibili dei clienti tra produttori e acquirenti finali. Questa combinazione, dati di valore più difese più deboli, le rende un obiettivo efficiente per gli attaccanti che cercano il massimo riscatto con la minima resistenza.

Violazioni recenti che mostrano il fenomeno

Questo non è un rischio teorico. Diversi incidenti recenti illustrano esattamente come i distributori del mercato intermedio vengano colpiti. La violazione dei dati di Wesco ha visto il gruppo di estorsione ExfilSquad rivendicare il furto di milioni di record CRM dalla società globale di supply chain e distribuzione. Nello stesso periodo, ShinyHunters ha rivendicato una violazione presso Baker Distributing, uno dei più grandi distributori di apparecchiature HVAC, refrigerazione e ristorazione del paese, esponendo centinaia di migliaia di record.

Anche la distribuzione sanitaria non è stata risparmiata. McKesson, un importante distributore farmaceutico, è stato colpito da un tentativo di estorsione che ha esposto 6,4 milioni di indirizzi email unici, e resoconti separati sull'incidente hanno descritto come le tattiche di estorsione stiano sempre più sostituendo la tradizionale crittografia ransomware come metodo di attacco preferito. Invece di bloccare i sistemi, gli attaccanti rubano i dati e minacciano di pubblicarli, una tattica che richiede meno tempo all'interno della rete della vittima ed è più difficile da rilevare finché il danno non è già fatto.

Come una singola violazione di un distributore si ripercuote lungo le catene di approvvigionamento

I distributori non operano in isolamento. Si trovano tra produttori, rivenditori, fornitori di assistenza sanitaria e innumerevoli altri partner a valle che dipendono da un flusso di dati tempestivo e accurato. Quando un distributore viene compromesso, le conseguenze raramente restano contenute. Record dei clienti, ordini di acquisto, accordi sui prezzi e dati di spedizione possono tutti essere esposti o tenuti in ostaggio, interrompendo le operazioni di ogni azienda collegata a quel distributore.

È proprio per questo che le grandi imprese ora esaminano così attentamente i loro fornitori del mercato intermedio, spesso richiedendo questionari di sicurezza dettagliati prima di firmare contratti. Un singolo anello debole in una rete di distribuzione può diventare il punto di ingresso per un attacco che alla fine tocca ospedali, rivenditori o produttori che non hanno mai interagito direttamente con l'attaccante. Gli incidenti McKesson e Wesco mostrano entrambi come una violazione presso un distributore possa esporre dati appartenenti a innumerevoli partner a valle e clienti che non avevano alcun rapporto diretto con l'attaccante.

Passi pratici per le aziende del mercato intermedio

I distributori del mercato intermedio non hanno bisogno di budget di dimensioni enterprise per ridurre in modo significativo il loro rischio. Alcune pratiche fondamentali fanno molta strada:

  • Segmentazione della rete: isolare i sistemi critici (gestione dell'inventario, piattaforme finanziarie, database dei clienti) dalle reti d'ufficio generali limita quanto lontano può muoversi un attaccante una volta ottenuto l'accesso iniziale.
  • VPN e accesso remoto sicuro: con molti distributori che si affidano a personale remoto o ibrido, le VPN di livello aziendale con autenticazione forte aiutano a impedire che il furto di credenziali diventi una compromissione totale della rete.
  • Limitare il movimento laterale: applicare l'accesso con privilegi minimi, l'autenticazione a più fattori e audit regolari di chi può raggiungere i sistemi sensibili rende più difficile per gli attaccanti escalare un singolo account compromesso in una violazione a livello aziendale.
  • Monitoraggio del rischio di terze parti: poiché così tante violazioni nella distribuzione derivano da debolezze di fornitori o partner, valutare regolarmente la postura di sicurezza di fornitori e partner non è più opzionale.

Cosa significa per te

Se lavori per o con un distributore del mercato intermedio, questi dati sono un invito all'azione più che un motivo di allarme. I gruppi di ransomware sono opportunistici e gravitano verso obiettivi dove il rapporto sforzo-ricompensa li favorisce. Colmare le lacune di sicurezza di base, come segmentare le reti e mettere in sicurezza l'accesso remoto, cambia in modo significativo quel calcolo. Per le aziende che si affidano ai distributori come parte della loro catena di approvvigionamento, vale la pena chiedere direttamente ai fornitori informazioni sulle loro pratiche di sicurezza prima che un incidente costringa alla conversazione.

Punti chiave

I dati sono chiari: i distributori del mercato intermedio colpiti da ransomware sopportano una quota sproporzionata di attacchi, e gli incidenti presso aziende come Wesco e Baker Distributing mostrano come ciò si manifesti nella pratica. I distributori di ogni dimensione dovrebbero considerare la segmentazione della rete, l'accesso remoto sicuro e le valutazioni del rischio dei fornitori come requisiti di base, non come aggiornamenti opzionali. Le aziende che agiscono ora, prima che un attaccante imponga la questione, saranno in una posizione molto migliore per mantenere intatte le proprie operazioni e i dati dei loro partner.