Il ransomware si è evoluto ben oltre la semplice cifratura dei file. Gli attacchi più dannosi di oggi seguono un ciclo di vita prevedibile che si conclude non con una, ma con due richieste di riscatto. Capire come si svolge questo processo e dove difese comuni come le VPN risultano insufficienti è il primo passo per costruire una postura di sicurezza in grado di resistervi concretamente.

Il ciclo di vita degli attacchi ransomware, passo dopo passo

Le campagne ransomware moderne raramente iniziano con la cifratura. Quello è l'atto finale, non la mossa d'apertura. Nei casi più avanzati, gli aggressori prima ottengono l'accesso a una rete, spesso tramite credenziali rubate, phishing o una vulnerabilità esposta. Una volta dentro, esplorano silenziosamente l'ambiente, elevano i privilegi e individuano i dati più sensibili o preziosi che riescono a trovare.

Ecco la parte critica: prima che qualsiasi file venga bloccato, gli aggressori esfiltrano quei dati sensibili verso server sotto il loro controllo. Questo passaggio, a volte trascurato nelle descrizioni più datate del ransomware, è oggi una pratica standard tra i gruppi più sofisticati. Solo dopo che i dati sono stati copiati all'esterno, il malware procede a cifrare i file sui sistemi della vittima, rendendoli inaccessibili in una raffica rapida e spesso automatizzata.

Con entrambi i punti di leva assicurati – sistemi cifrati e dati rubati – gli aggressori presentano la richiesta di riscatto. È qui che entra in gioco la "doppia estorsione". Le vittime sono pressate a pagare non solo per ottenere una chiave di decrittazione e ripristinare i propri sistemi, ma anche per impedire la diffusione pubblica o la vendita delle informazioni riservate. Rifiutarsi di pagare non significa più soltanto rischiare la perdita permanente dei dati; ora si rischia una fuga di dati pubblica con registri dei clienti, dettagli finanziari o proprietà intellettuale.

Questa campagna di pressione a due fronti è diventata così comune che alcuni attori delle minacce ora saltano del tutto la cifratura e si affidano esclusivamente alla minaccia di esposizione dei dati. Recenti campagne di estorsione legate a gruppi come Clop hanno mostrato chiaramente questo cambiamento, come si è visto nell'ondata di estorsione Clop PLM che ha colpito i sistemi PTC Windchill e nella correlata campagna ransomware Clop contro PTC Windchill e FlexPLM, dove i dati rubati stessi sono diventati la leva principale.

Perché una VPN non ti proteggerà completamente

Una VPN cifra la tua connessione internet e può impedire che il traffico venga intercettato o la tua posizione tracciata. Questo è utile, ma copre una porzione ridotta della superficie di rischio. Una VPN non fa nulla per fermare un aggressore che ha già ottenuto credenziali valide, sfruttato una falla software o convinto un dipendente a cliccare un link dannoso. Una volta all'interno di una rete, gli operatori ransomware si spostano lateralmente attraverso i sistemi interni, esfiltrano dati e distribuiscono payload di cifratura in modo del tutto indipendente dal modo in cui ci si è connessi a internet in primo luogo.

In altre parole, una VPN protegge il tunnel, non la destinazione. Non può ispezionare ciò che accade all'interno della rete, rilevare trasferimenti dati anomali o impedire l'esecuzione di malware dopo che ha preso piede. Considerare una VPN come una difesa completa contro il ransomware crea un pericoloso punto cieco, soprattutto con l'aumento dell'automazione degli attacchi. I ricercatori di sicurezza hanno persino documentato casi di attacchi ransomware completamente autonomi guidati dall'IA, in cui un agente IA gestiva ricognizione, exploit ed estorsione senza alcun operatore umano a dirigere ogni passo. Minacce come questa si muovono più velocemente di quanto l'ambito di una VPN sia mai stato progettato per affrontare.

Perché pagare non garantisce sicurezza

Persino le organizzazioni che pagano un riscatto spesso scoprono che il problema non è finito. Una recente ricerca sulle vittime di ransomware nel Regno Unito ha rilevato che una quota significativa delle organizzazioni che hanno pagato ha comunque subito un secondo round di estorsione, tramite nuove richieste, ulteriori fughe di dati o attacchi completamente nuovi. Quei dati rafforzano una dura verità: la doppia estorsione non termina dopo che le vittime pagano. Pagare può far guadagnare tempo, ma non cancella il fatto che i dati siano stati rubati né ripristina la fiducia che la violazione sia stata completamente contenuta.

Cosa significa questo per te

Che tu stia gestendo la rete di una piccola impresa o desideri semplicemente comprendere i rischi legati ai sistemi da cui dipendi, il ciclo di vita degli attacchi ransomware dovrebbe cambiare il modo in cui pensi alla protezione. La prevenzione deve avvenire ben prima che avvenga la cifratura, perché quando i file sono bloccati, i dati sensibili di solito hanno già lasciato l'edificio.

Questo significa che le difese stratificate contano molto più di qualsiasi singolo strumento. Backup regolari e testati, conservati offline o in ambienti isolati, riducono la leva che la cifratura dà agli aggressori. La segmentazione della rete limita quanto lontano può spostarsi un intruso dopo aver ottenuto l'accesso iniziale. Il monitoraggio continuo dei trasferimenti dati anomali può intercettare l'esfiltrazione prima che diventi un evento estorsivo conclamato. L'autenticazione a più fattori e l'applicazione tempestiva delle patch chiudono molti dei punti di accesso iniziali su cui gli aggressori fanno affidamento.

Consigli pratici

Inizia dando per scontato che qualsiasi singolo livello di sicurezza, inclusa una VPN, possa essere aggirato. Esegui il backup dei dati critici con una frequenza che testi realmente, non solo che presumi funzioni. Segmenta la rete in modo che un singolo account compromesso non possa raggiungere tutto. Monitora i flussi di dati in uscita alla ricerca di anomalie, poiché l'esfiltrazione spesso precede la cifratura di ore o giorni. E prepara ora un piano di risposta agli incidenti, prima di averne bisogno, in modo che le decisioni sulle richieste di riscatto non vengano prese sotto pressione. Comprendere l'intero ciclo di vita degli attacchi ransomware, non solo il momento in cui i file vengono bloccati, è ciò che distingue le organizzazioni che recuperano rapidamente da quelle che non ci riescono.