Il riscatto è solo l'acconto

Quando la maggior parte delle persone pensa al costo di un attacco ransomware, immagina la richiesta di riscatto stessa: una somma forfettaria che i criminali chiedono in cambio di una chiave di decrittazione. Ma secondo un nuovo explainer di Datto, quella cifra è spesso solo una frazione di ciò che un'organizzazione paga effettivamente una volta concluso un attacco. Tempi di inattività, lavoro di ripristino, attività di remediation e obblighi legali possono sommarsi a milioni di dollari, facendo impallidire la nota di riscatto originale.

Questa distinzione è importante perché ridefinisce il modo in cui le aziende, e le persone i cui dati sono detenuti da tali aziende, dovrebbero considerare il rischio ransomware. Un'azienda potrebbe rifiutarsi di pagare un riscatto per principio, salvo poi scoprire che il costo di ricostruire i sistemi da zero, notificare i clienti colpiti e soddisfare i regolatori finisce per costare molto più di quanto i criminali avessero originariamente richiesto.

Dove finiscono davvero i soldi

L'analisi di Datto evidenzia diverse categorie di costi che tendono a ricevere meno attenzione rispetto al riscatto stesso:

  • Tempi di inattività: ogni ora in cui i sistemi sono offline è un'ora di produttività persa, transazioni mancate e servizio clienti interrotto. Per le aziende che dipendono da un uptime continuo, questo può essere il singolo fattore di costo più rilevante.
  • Ripristino: ricostruire l'infrastruttura, ripristinare i dati dai backup (se esistono e sono utilizzabili) e verificare che i sistemi siano puliti prima di rimetterli online è un processo lento e ad alta intensità di manodopera.
  • Remediation: oltre al semplice ripristino delle operazioni, le organizzazioni spesso devono rivedere i controlli di sicurezza, correggere le vulnerabilità e coinvolgere esperti esterni per confermare che gli attaccanti siano davvero andati via.
  • Obblighi legali: le leggi sulla notifica delle violazioni dei dati, i requisiti di segnalazione normativa e potenziali cause legali da parte di clienti o partner coinvolti aggiungono un ulteriore livello di costo e complessità, che può protrarsi per mesi dopo che l'incidente tecnico è stato risolto.

È nella dimensione legale che la posta in gioco sulla privacy diventa chiara. Gli attacchi ransomware coinvolgono sempre più spesso il furto di dati insieme alla cifratura, il che significa che informazioni personali, registrazioni finanziarie o dati sanitari possono finire esposti o venduti indipendentemente dal fatto che venga pagato un riscatto. Una volta che ciò accade, l'incidente smette di essere un problema puramente tecnico e diventa una questione di privacy e conformità, con scadenze di notifica, scrutinio normativo e danni reputazionali che sopravvivono alla perturbazione iniziale.

Perché il BCDR cambia l'equazione

L'explainer di Datto indica la continuità operativa e il disaster recovery (BCDR) come un modo per ridurre questi costi, in particolare le porzioni della fattura relative ai tempi di inattività e al ripristino. Una strategia BCDR matura è costruita attorno a backup affidabili e testati e a un piano di ripristino chiaro già in atto prima che si verifichi un attacco, non messi insieme in tutta fretta dopo. Le organizzazioni con questo tipo di preparazione tendono a tornare online più rapidamente e con maggiore prevedibilità, invece di affrontare una tempistica di ripristino indefinita mentre gli attaccanti tengono i loro sistemi in ostaggio.

Questo è particolarmente rilevante mentre i gruppi ransomware continuano a professionalizzare le loro operazioni. Come trattato in un recente articolo su come l'IA sta rimodellando il modello di business del ransomware, gli attaccanti stanno diventando più efficienti nell'individuare gli obiettivi, automatizzare parti del loro processo di intrusione e pressare le vittime affinché paghino rapidamente. Un attaccante più veloce e automatizzato significa che i difensori hanno bisogno di processi di ripristino altrettanto rapidi e ben collaudati per evitare il peggio dei tempi di inattività e delle conseguenze legali.

Cosa significa per te

Se gestisci un'azienda, anche piccola, questa inquadratura dovrebbe cambiare il modo in cui valuti il rischio ransomware. Non basta chiedersi "potremmo permetterci il riscatto". La domanda migliore è "potremmo permetterci settimane di inattività, una ricostruzione completa dei sistemi e le conseguenze legali se i dati dei clienti fossero esposti?" Per la maggior parte delle organizzazioni, la risposta onesta è no, ed è esattamente per questo che la pianificazione di backup e ripristino merita la stessa attenzione dei firewall e della protezione degli endpoint.

Per gli individui, il messaggio riguarda più la consapevolezza. Se un'azienda con cui fai affari subisce un attacco ransomware, la perturbazione e qualsiasi esposizione dei dati possono persistere molto dopo che i titoli svaniscono, poiché i processi legali e di remediation spesso si protraggono per mesi. Restare attenti alle notifiche di violazione e comprendere quali dei tuoi dati potrebbero essere stati coinvolti rimane un'abitudine sensata.

Spunti concreti

  • Le aziende dovrebbero valutare se i loro sistemi di backup e ripristino vengono testati regolarmente, non solo installati e dimenticati.
  • Trattare la preparazione al ransomware come una questione legale e di privacy, non solo un problema IT, dati i costi di notifica e conformità coinvolti.
  • Costruire un piano documentato di risposta agli incidenti che affronti insieme tempi di inattività, ripristino e segnalazione normativa, invece che in modo isolato.
  • Gli individui dovrebbero restare vigili sulle notifiche di violazione da parte delle aziende con cui interagiscono, poiché il rischio di esposizione dei dati può persistere ben oltre l'attacco iniziale.

Comprendere il costo completo di un attacco ransomware, non solo il riscatto, è il primo passo verso la costruzione di difese che reggano davvero quando si verifica un attacco.