La copertura mediatica del ransomware tende a concentrarsi sulla nota di riscatto stessa: lo schermo rosso lampeggiante, il conto alla rovescia, la richiesta di criptovaluta. Ma un recente approfondimento che analizza gli elementi essenziali del ransomware moderno solleva un punto che merita maggiore attenzione. La schermata drammatica è spesso l'ultimo passo di un attacco, non il primo, e nel momento in cui appare, i danni di un attacco ransomware a doppia estorsione potrebbero essere già permanenti.

Questa distinzione è importante perché cambia il modo in cui le organizzazioni dovrebbero pensare alla difesa. I backup sono stati a lungo venduti come la risposta al ransomware. Se i tuoi sistemi sono crittografati, ripristina dal backup e vai avanti. La doppia estorsione infrange questa logica, e capire perché è il primo passo verso la costruzione di una difesa che regga davvero.

Cosa fa effettivamente di diverso il ransomware a doppia estorsione

Il ransomware tradizionale aveva una sola leva: crittografare i file della vittima e chiedere un pagamento per la chiave di decrittazione. La doppia estorsione aggiunge una seconda leva. Prima di crittografare qualsiasi cosa, gli attaccanti copiano silenziosamente dati sensibili dalla rete. Una volta che la richiesta di riscatto arriva, le vittime affrontano due minacce separate: i loro sistemi sono bloccati e le loro informazioni rubate potrebbero essere pubblicate o vendute se non pagano.

Questo è importante perché sconfigge la strategia di difesa dal ransomware più comune. Un'organizzazione con backup eccellenti può ripristinare i propri sistemi senza mai toccare un decryptor. Ma i backup non possono far sparire i dati rubati. Registri dei clienti, documenti finanziari o comunicazioni interne che sono stati esfiltrati prima dell'inizio della crittografia sono già fuori dal controllo dell'organizzazione. Pagare o non pagare non cambia il fatto che il furto sia avvenuto; influisce solo su ciò che gli attaccanti scelgono di fare con ciò che già possiedono.

Perché i backup e la crittografia VPN da soli non fermano le fughe di dati

Vale la pena essere chiari su cosa proteggono effettivamente gli strumenti di crittografia, comprese le VPN. Una VPN crittografa il traffico in transito, proteggendo i dati mentre si spostano tra un dispositivo e una rete. Questo è prezioso per prevenire l'intercettazione su reti non fidate, ma non fa nulla per fermare un attaccante che ha già ottenuto un punto d'appoggio all'interno di un sistema e sta esfiltrando dati dall'interno. Allo stesso modo, i backup proteggono la disponibilità, la capacità di far funzionare di nuovo i sistemi, ma non dicono nulla sulla riservatezza una volta che i dati hanno lasciato l'edificio.

Questa è l'intuizione fondamentale dietro una vera difesa dal ransomware a doppia estorsione: la crittografia in transito e i backup dei dati a riposo risolvono problemi diversi dal furto di dati. Trattare l'uno o l'altro come una soluzione completa crea un falso senso di sicurezza. La vera domanda di difesa non è solo "possiamo recuperare", ma "possiamo rilevare e fermare l'esfiltrazione prima che accada, e se accade, quanto velocemente lo sappiamo?"

Quanto velocemente si muove il ransomware moderno una volta dentro una rete

Una delle realtà più inquietanti delle attuali operazioni ransomware è la velocità. Gli attaccanti non hanno più bisogno di giorni o settimane per passare dall'accesso iniziale al compromesso completo. Un caso che descrive in dettaglio come il ransomware guidato dall'IA ha colpito un'azienda in appena 10 ore mostra quanto si sia compressa quella tempistica. In quell'incidente, ciò che è iniziato come un singolo punto di accesso si è escalato in un'operazione completamente automatizzata e multi-fase in meno di una giornata lavorativa, terminando con un audit trail di 80 pagine che documentava tutto ciò che l'attaccante aveva toccato.

Quel tipo di velocità significa che il modello tradizionale di notare che qualcosa non va, indagare e rispondere non si adatta più alla minaccia. Nel momento in cui il personale IT inizierebbe normalmente a esaminare attività insolite, un attaccante che opera a quel ritmo potrebbe già aver esfiltrato dati e stare preparando il deployment della crittografia. La finestra per il rilevamento e la risposta manuali si sta restringendo, ed è esattamente per questo che le difese stratificate e automatizzate contano più che mai.

Costruire una difesa dal ransomware a doppia estorsione con controlli stratificati

Il backup rimane essenziale, ma non è l'intera difesa. Un approccio più completo stratifica diverse protezioni insieme. La segmentazione della rete limita quanto lontano può muoversi un attaccante dopo aver ottenuto l'accesso iniziale, riducendo la quantità di dati raggiungibili da qualsiasi singolo punto compromesso. Controlli di accesso solidi, inclusi l'autenticazione multi-fattore e il principio del privilegio minimo, rendono più difficile per le credenziali rubate aprire la porta a sistemi sensibili in primo luogo.

Il monitoraggio di trasferimenti di dati in uscita insoliti può catturare l'esfiltrazione in corso, prima che la crittografia abbia inizio. E un piano di risposta agli incidenti, testato prima di un attacco reale, determina se un team di sicurezza può agire in minuti anziché in ore una volta rilevato qualcosa di sospetto. Nessuno di questi controlli è una soluzione miracolosa da solo. Insieme, restringono il divario su cui fanno affidamento gli attaccanti a doppia estorsione.

Cosa significa per te

Per gli individui, la lezione è trattare qualsiasi organizzazione che detiene i tuoi dati con l'assunzione che una violazione potrebbe comportare sia interruzione che esposizione, non solo downtime. Per i team IT e i titolari di aziende, significa rivalutare qualsiasi piano di sicurezza che si basa interamente su backup o solo sulla crittografia VPN. Chiediti se la tua organizzazione è in grado di rilevare trasferimenti di dati grandi o insoliti, se l'accesso è adeguatamente segmentato e se il tuo piano di risposta agli incidenti è stato effettivamente testato anziché solo messo per iscritto.

La doppia estorsione ha ridefinito l'aspetto di una difesa resiliente. Il ripristino non è più il traguardo; prevenire e rilevare il furto di dati è altrettanto importante. Le organizzazioni che abbinano i backup alla segmentazione della rete, a controlli di accesso rigorosi e al monitoraggio in tempo reale hanno una probabilità molto maggiore di fermare un attacco prima che diventi una crisi su due fronti. Rivedi le tue difese attuali con quella realtà in mente, e tratta la velocità di rilevamento con la stessa serietà della velocità di ripristino.