Il ransomware un tempo aveva un playbook semplice, per quanto brutale: gli attaccanti cifravano i file e chiedevano un pagamento per la chiave di decifratura. Paga, e l'incubo era finito. Quel modello è cambiato. Le moderne bande di ransomware rubano sempre più spesso una copia dei tuoi dati prima ancora di attivare la routine di cifratura, per poi minacciare di pubblicarli indipendentemente dal pagamento del riscatto. I ricercatori di sicurezza chiamano questo fenomeno doppia estorsione, e significa che il ripristino non riguarda più solo il recupero dei file. Significa presumere che i tuoi dati abbiano già lasciato l'edificio.

Perché il ransomware moderno ruba i dati prima di cifrarli

La sola cifratura ha perso la sua leva una volta che le organizzazioni hanno iniziato a prendere sul serio i backup. Se una vittima può semplicemente ripristinare da un backup offline, pagare un riscatto per una chiave di decifratura smette di avere senso. Gli attaccanti si sono adattati aggiungendo un secondo punto di pressione: esfiltrare prima i file sensibili. Anche un'azienda con backup impeccabili ora affronta la minaccia di registrazioni dei clienti, documenti finanziari o dati sanitari rubati che vengono pubblicati pubblicamente o venduti ad altri gruppi criminali.

Questo cambiamento è stato particolarmente visibile nel settore sanitario e nei servizi finanziari, dove i dati stessi, non solo la disponibilità dei sistemi, sono il vero bottino. Incidenti che coinvolgono l'esposizione dei dati sanitari di ChipSoft, la violazione di DentaQuest che ha colpito milioni di pazienti e la violazione di McKesson legata al gruppo di estorsione ShinyHunters illustrano tutti come gli attaccanti ora trattino i registri rubati come merce di scambio separata dalla cifratura stessa. Pagare per sbloccare i file non garantisce più che i dati non emergano in seguito.

5 passi forensi da intraprendere nella prima ora dopo un attacco

Quando viene scoperto un ransomware, i primi sessanta minuti contano più di quasi qualsiasi altra fase dell'incidente. Azioni dettate dal panico, come spegnere immediatamente ogni macchina, possono distruggere le prove necessarie per capire cosa è realmente accaduto. Invece:

  1. Isola, non spegnere. Disconnetti i dispositivi interessati dalla rete (scollega l'ethernet, disabilita il Wi-Fi) invece di spegnerli. Spegnere può cancellare la memoria volatile che contiene indizi su come gli attaccanti sono entrati e a cosa hanno avuto accesso.
  2. Preserva immediatamente i log. I log del firewall, i log di accesso VPN e i registri di rilevamento degli endpoint sono spesso le prime cose che gli attaccanti cercano di cancellare. Esporta o esegui il backup di questi log prima di fare qualsiasi altra cosa.
  3. Identifica il punto di ingresso. Cerca segni di email di phishing, porte di desktop remoto esposte o credenziali compromesse. Conoscere il vettore di accesso iniziale orienta ogni decisione successiva.
  4. Determina quali dati sono stati toccati, non solo cifrati. Cerca trasferimenti di dati in uscita insoliti nelle ore o nei giorni precedenti l'inizio della cifratura. Grandi trasferimenti di file verso indirizzi IP esterni sconosciuti sono un forte segnale che si è verificata un'esfiltrazione.
  5. Coinvolgi presto uno specialista forense o un team di risposta agli incidenti. Anche per le piccole imprese, un professionista in grado di documentare correttamente la cronologia è fondamentale per scopi legali, normativi e assicurativi.

Agire in modo metodico in questa finestra non aiuta solo il contenimento. Determina se in seguito potrai dimostrare cosa è stato rubato e cosa no, il che è enormemente importante per gli obblighi di notifica e le dichiarazioni pubbliche.

Come individuare quale tipo di furto di dati si è verificato

Non ogni incidente ransomware comporta furto di dati, e non ogni furto di dati comporta cifratura. Distinguerli richiede l'esame di prove specifiche:

  • Attacchi di sola cifratura lasciano i file bloccati ma non mostrano segni di grandi trasferimenti in uscita nei log di rete. La nota di riscatto in genere fa riferimento solo alla decifratura, non alla pubblicazione.
  • Attacchi a doppia estorsione mostrano sia file cifrati sia prove di preparazione dei dati, come archivi compressi creati poco prima dell'attacco, o autenticazioni insolite da strumenti di esfiltrazione. La nota di riscatto di solito minaccia di divulgare i dati su un sito di leak dedicato.
  • Furto di dati puro (senza cifratura) è sempre più comune di per sé, in particolare contro database cloud e piattaforme SaaS. Qui, i sistemi continuano a funzionare normalmente, ma gli attaccanti copiano silenziosamente i registri e in seguito chiedono un pagamento per impedirne la pubblicazione. La fuga di 700GB nel dark web che ha colpito Bank of Baroda e la violazione di Veradigm rivendicata dal gruppo ransomware Gentlemen mostrano entrambe come le rivendicazioni di furto possano emergere anche quando l'interruzione operativa è minima.

Distinguere tra questi scenari in anticipo aiuta le organizzazioni a calibrare la loro risposta, dalle tempistiche di notifica delle violazioni a come comunicano con i clienti colpiti.

Livelli difensivi che riducono l'esposizione: cifratura, VPN e monitoraggio

Dato che il ransomware a doppia estorsione presume che i dati saranno esposti qualunque cosa accada, la difesa più efficace è ridurre ciò che è esponibile in primo luogo. Cifrare i dati sensibili a riposo significa che anche se gli attaccanti esfiltrano i file, i contenuti rimangono illeggibili senza chiavi separate. Usare una VPN per l'accesso remoto chiude uno dei punti di ingresso più comuni, gateway di desktop remoto e VPN esposti con credenziali deboli o riutilizzate, che gli attaccanti scansionano e sfruttano abitualmente. Il monitoraggio continuo della rete che segnala volumi di dati in uscita insoliti può anche intercettare l'esfiltrazione in corso, prima ancora che la cifratura inizi.

Cosa significa questo per te

Se gestisci una piccola impresa o gestisci l'IT per una, la risposta al ransomware a doppia estorsione non può iniziare quando appare la nota di riscatto. Inizia con l'igiene di base: backup cifrati archiviati offline, accesso VPN monitorato invece di porte di desktop remoto esposte, e un piano di incidente scritto che specifichi chi chiama chi nella prima ora. Per i consumatori i cui dati si trovano presso fornitori di assistenza sanitaria, banche o amministratori di benefit, il messaggio pratico è la vigilanza dopo una notifica di violazione, poiché i dati rubati possono emergere anche quando un'azienda insiste sul fatto che una situazione di riscatto è stata risolta.

Punti chiave operativi

  • Presumi che qualsiasi incidente ransomware possa comportare furto di dati, non solo cifratura, finché le prove forensi non dimostrano il contrario.
  • Nella prima ora, isola i sistemi senza spegnerli e preserva i log prima che possano essere alterati o cancellati.
  • Cifra i dati sensibili a riposo in modo che i file esfiltrati siano meno preziosi per gli attaccanti anche se rubati.
  • Proteggi l'accesso remoto con una VPN configurata correttamente invece di protocolli di desktop remoto esposti.
  • Monitora le notifiche di violazione dai fornitori che utilizzi e prendile sul serio anche se l'organizzazione afferma che la situazione di riscatto è sotto controllo.

La doppia estorsione ha ridefinito cosa significa "riprendersi" da un ransomware. Pagare non garantisce che i tuoi dati rimangano privati, e rifiutarsi di pagare non significa che scompaiano. Le organizzazioni e gli individui nelle migliori condizioni per superare questi attacchi sono quelli che hanno trattato la protezione dei dati come un'abitudine quotidiana molto prima che un attaccante entrasse.