Cosa rivela l'avviso di CISA e FBI sul ransomware Gunra

La Cybersecurity and Infrastructure Security Agency (CISA) e l'FBI, in collaborazione con il governo degli Stati Uniti e partner internazionali, hanno pubblicato un avviso congiunto sulla sicurezza informatica intitolato #StopRansomware: Gunra Ransomware. L'avviso segue le tracce di un gruppo ransomware emerso per la prima volta nell'aprile 2025, che si è silenziosamente costruito una reputazione per campagne di estorsione aggressive e ad alta pressione.

Secondo l'avviso, Gunra opera con un modello a doppia estorsione. Ciò significa che il gruppo non si limita a bloccare i file della vittima con la cifratura, ma ruba, o esfiltra, dati sensibili prima di cifrarli. Questo dà agli attaccanti due leve separate sui loro bersagli: una per chiedere un riscatto per la chiave di decrittazione, l'altra per pretendere un pagamento per evitare che i dati rubati vengano diffusi o venduti. L'avviso rileva che le richieste di riscatto avvengono attraverso canali di pagamento strutturati, un tratto distintivo delle operazioni ransomware che sono passate da attacchi opportunistici a un'estorsione organizzata, quasi imprenditoriale.

Il fatto che le agenzie federali abbiano ritenuto necessario pubblicare un avviso dedicato su un gruppo attivo solo dalla primavera del 2025 la dice lunga sulla rapidità con cui Gunra ha scalato le proprie attività. Avvisi congiunti di questo tipo sono di solito riservati a minacce che, secondo le agenzie, stanno prendendo di mira attivamente un'ampia gamma di organizzazioni, non episodi isolati.

Come gli attacchi a doppia estorsione usano i dati rubati come arma

Il pericolo centrale della doppia estorsione è che cambia i calcoli per le vittime. Nei vecchi attacchi ransomware, un'organizzazione con backup solidi poteva spesso rifiutarsi di pagare e ripristinare semplicemente i sistemi. La doppia estorsione elimina questa rete di sicurezza. Anche se un'azienda riesce a ricostruire la propria rete dai backup senza pagare per una chiave di decrittazione, gli attaccanti tengono comunque in ostaggio i dati rubati e possono minacciare di pubblicarli o venderli.

Questa tattica ha implicazioni più ampie di quanto la maggior parte delle persone creda. I dati rubati raramente restano confinati ai registri interni dell'azienda. Includono spesso nomi dei clienti, recapiti, informazioni di pagamento e altri dati personali che, una volta esfiltrati, possono essere usati per fare pressione su un'azienda da più fronti. Come trattato in una precedente analisi su come le bande ransomware ora minacciano di contattare i tuoi clienti, alcuni gruppi sono andati oltre, contattando direttamente i clienti dell'organizzazione colpita, avvertendoli che le loro informazioni personali sono state rubate e spingendoli a fare pressione sull'azienda perché paghi. L'approccio a doppia estorsione di Gunra si inserisce perfettamente in questo schema, trasformando i dati rubati in un'arma contro l'organizzazione violata e contro le persone di cui deteneva le informazioni.

Per le piccole e medie imprese, questo significa che un incidente ransomware non è più solo un problema informatico. Può diventare rapidamente un problema di fiducia e reputazione verso i clienti, indipendentemente dal fatto che il riscatto venga pagato o meno.

Azioni difensive che le piccole imprese possono adottare subito

La pubblicazione dell'avviso è un'occasione utile per ogni tipo di organizzazione per rivedere le proprie difese contro il ransomware, soprattutto perché gruppi come Gunra non sembrano limitare i propri bersagli alle grandi aziende. Alcuni passi fondamentali fanno una grande differenza:

  • Mantenere backup offline o immutabili, che non possano essere alterati o cancellati da un attaccante che ottiene l'accesso alla rete.
  • Segmentare le reti in modo che una compromissione in un sistema, come una postazione di lavoro di un dipendente, non possa diffondersi facilmente ai server che contengono dati sensibili dei clienti.
  • Applicare l'autenticazione a più fattori sugli strumenti di accesso remoto, sulla posta elettronica e sugli account amministrativi, poiché le credenziali rubate restano uno dei punti d'ingresso più comuni per gli operatori ransomware.
  • Applicare tempestivamente le patch ai sistemi esposti su internet, dato che il software non aggiornato viene regolarmente sfruttato per ottenere l'accesso iniziale.
  • Sviluppare e testare un piano di risposta agli incidenti prima che un attacco avvenga, non dopo.

I software antivirus continuano ad avere un ruolo, ma non sono mai stati progettati per fermare un attaccante che ha già preso piede e sta esfiltrando dati per un periodo prolungato. Le difese a strati contano più di ogni singolo strumento.

Perché la cifratura dei backup e la minimizzazione dei dati sono più importanti che mai

I backup da soli non bastano se l'obiettivo è la doppia estorsione. Cifrare i dati di backup a riposo e limitare chi può accedervi o modificarli riduce la probabilità che gli attaccanti possano manomettere le opzioni di ripristino durante la fase di ricognizione. Altrettanto importante è la minimizzazione dei dati: le aziende che raccolgono e conservano solo le informazioni sui clienti di cui hanno realmente bisogno restringono il bacino di dati che un attaccante come Gunra potrebbe esfiltrare e usare in seguito come leva. I vecchi archivi che giacciono in database inutilizzati sono una passività, non un patrimonio.

Cosa significa questo per te

Se gestisci una piccola impresa o ne curi l'IT, l'avviso su Gunra è un promemoria che la preparazione al ransomware oggi deve tenere conto dei dati rubati, non solo dei file bloccati. Le campagne di doppia estorsione del ransomware Gunra hanno successo perché sfruttano sia il blocco operativo causato dalla cifratura, sia la ricaduta reputazionale di una fuga di dati. Prepararsi per uno dei due aspetti senza l'altro lascia un varco che gli attaccanti sono sempre più addestrati a individuare.

Spunti pratici

  • Rivedi la tua strategia di backup per assicurarti che le copie siano offline, immutabili e cifrate.
  • Verifica quali dati dei clienti hai realmente bisogno di conservare ed elimina quelli superflui.
  • Conferma che l'autenticazione a più fattori sia attiva su tutti i punti di accesso remoto e amministrativi.
  • Costruisci un piano di risposta agli incidenti che includa procedure di notifica ai clienti, perché i dati rubati potrebbero essere usati direttamente contro di loro.
  • Tieniti aggiornato sugli avvisi di CISA e dell'FBI, poiché nuovi gruppi ransomware continuano ad adottare lo stesso schema di doppia estorsione.