Il ransomware un tempo era un problema semplice e brutale: gli attaccanti bloccavano i tuoi file e chiedevano un pagamento per la chiave. Oggi il quadro è più complicato. Questa guida offre una spiegazione passo passo del ransomware a doppia estorsione per il lettore comune, basata su un recente commento in lingua giapponese di Masaya Kinoshita che descrive come i danni da ransomware siano diventati sempre più sofisticati e gravi.

Il punto centrale è che la tattica predominante oggi è la "doppia estorsione". Gli attaccanti non si limitano più a cifrare i dati. Rubano anche le informazioni e minacciano di divulgarle se le loro richieste non vengono soddisfatte. Questo cambiamento modifica ciò che significa difendersi, per le organizzazioni e per gli individui i cui dati sono detenuti da tali organizzazioni.

Come funziona la doppia estorsione

In un classico attacco ransomware, i criminali cifrano i file della vittima e chiedono denaro per la decifratura. La domanda principale della vittima è se può ripristinare i propri sistemi.

La doppia estorsione aggiunge una seconda leva. Prima o durante la cifratura, gli attaccanti copiano informazioni sensibili dalla rete della vittima. Poi presentano due minacce contemporaneamente:

  • Paga, o i tuoi sistemi restano bloccati.
  • Paga, o i tuoi dati rubati vengono pubblicati.

Il commento descrive questo come l'approccio predominante, non come qualcosa di esotico. La seconda minaccia è ciò che rende la tattica così efficace. Anche una vittima con un piano di ripristino perfetto deve comunque affrontare la prospettiva che registrazioni dei clienti, dati dei dipendenti o documenti interni finiscano in pubblico.

Perché i backup da soli non risolvono più il problema

Il backup dei dati resta essenziale. La fonte sottolinea la necessità di garantire backup robusti come una delle misure specifiche che le organizzazioni dovrebbero adottare, perché buoni backup permettono a una vittima di ripristinare le operazioni senza pagare per una chiave di decifratura.

Ma i backup rispondono solo alla minaccia della cifratura. Non fanno nulla contro le copie rubate. Ripristinare i tuoi file da un backup pulito non riporta indietro i tuoi dati dal server di un attaccante. Una volta che le informazioni sono state esfiltrate, la vittima ha perso il controllo su chi le vede, e i criminali lo sanno.

Ecco perché la fonte abbina i backup ad altre misure, come l'autenticazione a più fattori. Impedire agli attaccanti di entrare, o di muoversi liberamente una volta dentro, è l'unico modo per prevenire il furto fin dall'inizio. I backup sono uno strumento di ripristino, non di prevenzione.

Cosa significano siti di leak come RansomHouse per i tuoi dati personali

La pressione dietro la doppia estorsione viene spesso applicata pubblicamente. La fonte fa riferimento a un sito chiamato RansomHouse, un esempio dei siti di leak dove i gruppi di estorsione nominano le vittime e minacciano di rilasciare o pubblicano effettivamente il materiale rubato. Il video discusso nel commento evidenzia questo tipo di sito come parte della minaccia attuale.

Per le persone comuni, il punto chiave è che puoi essere colpito senza essere mai il bersaglio. Se un'azienda, una clinica, una scuola o un fornitore che detiene le tue informazioni viene violato, i tuoi dati possono far parte di ciò che viene rubato. Una segnalazione su un sito di leak è un segno che il gruppo sta facendo pressione sull'organizzazione, non una prova che l'affermazione sia accurata. Ad esempio, la nostra copertura della segnalazione ransomware Everest di Capgemini Engineering nota che tali affermazioni sono tipicamente non verificate al momento della loro comparsa.

Un recente esempio di questo schema è la violazione di Uber Freight, dove il gruppo Helix ha rivendicato quasi 1 milione di file dopo aver listato l'azienda sul suo sito di leak nel dark web. L'azienda ha dichiarato di stare indagando su un incidente di sicurezza dei dati. Se vuoi capire dove finiscono poi le informazioni rubate, la nostra spiegazione su cosa succede ai tuoi dati dopo una violazione copre la reazione a catena che può seguirne.

Cosa significa questo per te

La maggior parte dei lettori non gestisce una rete aziendale, ma fa comunque parte della storia della doppia estorsione. I tuoi dati vivono nei sistemi di altre persone e tu non puoi controllare la loro sicurezza. Ciò che puoi controllare è quanto danno ti fa una fuga di dati.

Un insieme di dettagli personali pubblicato o venduto può alimentare phishing, tentativi di takeover di account e impersonificazione. Riusare le password peggiora la situazione, perché una singola credenziale trapelata può sbloccare diversi account. La buona notizia è che poche abitudini limitano drasticamente le conseguenze.

Passi pratici per individui e piccole organizzazioni

Per gli individui:

  • Usa una password unica per ogni account, conservata in un gestore di password.
  • Attiva l'autenticazione a più fattori ovunque sia offerta, iniziando da email, banking e cloud storage.
  • Sii scettico verso messaggi inaspettati che fanno riferimento ai tuoi dati reali, poiché i dati trapelati rendono le truffe più convincenti.
  • Se vieni informato di una violazione, cambia immediatamente la password interessata e tutte le altre che coincidevano con essa.
  • Condividi solo le informazioni personali di cui un servizio ha davvero bisogno.

Per le piccole organizzazioni:

  • Mantieni backup robusti e conserva almeno una copia offline o separata dalla tua rete principale, così gli attaccanti non possono cifrarla a loro volta.
  • Richiedi l'autenticazione a più fattori per il personale, specialmente per l'accesso remoto e gli account amministrativi.
  • Raccogli e conserva meno dati sensibili. Le informazioni che non detieni non possono essere rubate.
  • Prepara un piano di incidente che copra il furto di dati, non solo il ripristino dei sistemi, inclusa la definizione di chi avviseresti.

Punti chiave

Comprendere la doppia estorsione ransomware spiegata in termini semplici si riduce a un'unica idea: la cifratura è l'attacco visibile, e il furto è quello duraturo. I backup proteggono le tue operazioni, ma solo la prevenzione, come l'autenticazione a più fattori e la limitazione dei dati conservati, riduce la probabilità di una fuga di dati.

Per vedere cosa succede tipicamente dopo che le informazioni vengono sottratte, leggi la nostra guida su cosa succede ai tuoi dati dopo una violazione, e consulta il rapporto Uber Freight e Helix come recente esempio di una segnalazione di estorsione su sito di leak. Poi prenditi dieci minuti oggi per attivare l'autenticazione a più fattori sui tuoi account più importanti.