Quando un importante operatore logistico viene colpito da un attacco informatico, la prima domanda riguarda di solito le catene di approvvigionamento. Un recente commento si chiedeva se l'attacco informatico a DP World avesse messo a rischio il commercio australiano, e la sua risposta era: probabilmente no, questa volta. Quel titolo è rassicurante sul fronte economico. Lascia però aperta una seconda domanda, che conta per le persone comuni: cosa succede ai dati quando gli aggressori entrano in una grande organizzazione? Questa guida usa l'incidente di DP World come caso di studio per spiegare in termini semplici l'estorsione doppia tramite ransomware.
Cosa è successo nell'attacco a DP World
Il commento di partenza inquadra l'incidente di DP World come parte di un più ampio aumento del ransomware. Fa riferimento ad attacchi riconducibili a prolifiche gang di cybercriminali, tra cui REvil e, più recentemente, LockBit. La sua domanda centrale riguarda l'esposizione del commercio nazionale, e la sua conclusione è che il rischio per il commercio australiano era probabilmente limitato in questa occasione.
L'estratto a nostra disposizione non riporta dettagli tecnici dell'intrusione, quindi non speculeremo su come gli aggressori siano entrati, cosa abbiano preso o chi sia responsabile. Ciò che il commento fornisce è una chiara descrizione di come funziona di solito questo stile di attacco. Questa descrizione è la parte utile per i lettori.
L'estorsione doppia tramite ransomware spiegata
Il ransomware tradizionale era semplice: i criminali cifrano i file di un'organizzazione e chiedono un pagamento per sbloccarli. Se la vittima disponeva di buoni backup, spesso poteva ripristinare i sistemi e rifiutarsi di pagare.
Come lo descrive il commento, un attacco moderno si svolge di solito in due fasi:
- I dati vengono estratti. Gli aggressori copiano i dati al di fuori dei sistemi dell'organizzazione.
- I dati vengono resi inaccessibili. I file originali vengono poi tipicamente cifrati in modo che dipendenti e clienti non possano utilizzarli.
L'organizzazione riceve quindi una richiesta di riscatto per "sbloccare" i dati, spesso pagabile in una criptovaluta.
L'estorsione doppia è la tendenza che ha cambiato i calcoli. Poiché i dati sono stati copiati prima di essere bloccati, gli aggressori detengono una seconda fonte di leva. Anche se una vittima ripristina tutto dai backup, i criminali possono comunque minacciare di pubblicare o vendere ciò che hanno preso. Pagare per la decifratura e pagare per il silenzio diventano due pressioni separate sulla stessa vittima.
Ecco perché la questione commerciale di DP World e la questione della sicurezza personale sono diverse. Un'organizzazione può continuare a operare, e l'economia può scrollarsi di dosso la disruption, mentre i dati rubati restano comunque nelle mani dei criminali.
Per un contesto sulle persone dietro queste operazioni, il nostro report su un tribunale svizzero che ha condannato uno sviluppatore ucraino a 13 anni per Nefilim mostra che gli sviluppatori di ransomware possono alla fine affrontare conseguenze reali, anche se il caso risale a un attacco del 2020, un promemoria di quanto lentamente si muova la giustizia rispetto alla rapidità con cui si diffondono i danni.
Cosa significano i dati rubati per gli individui
La maggior parte delle persone non sarà mai il bersaglio diretto di una gang di ransomware. Ma le grandi organizzazioni detengono dati su clienti, dipendenti e partner, ed è ciò che finisce sul tavolo in un attacco di estorsione doppia.
Il rischio per te è raramente immediato. Tende ad accumularsi nel tempo:
- I record trapelati vengono riutilizzati. Una volta che i dati personali circolano sui forum criminali, possono essere combinati con altre fughe di dati per costruire un profilo più completo di te.
- Il phishing diventa più convincente. Un messaggio che usa il tuo vero nome, il tuo datore di lavoro o i dettagli del tuo account è molto più difficile da individuare come falso.
- I documenti d'identità sono particolarmente sensibili. A differenza di una password, non puoi semplicemente cambiare una patente scansionata. Un presunto elenco di 153 milioni di scansioni di patenti legate a IDScan.net è un buon esempio di come i record personali trapelati possano creare un rischio duraturo, anche quando la rivendicazione di fondo è ancora in fase di valutazione.
Gli attacchi possono anche avere effetti al di là dei dati. Quando un governo ha disattivato decine di sistemi di proposito dopo un incidente, come trattato nel nostro articolo sulla Moldavia che porta 82 servizi pubblici offline, ha mostrato come disruption ed esposizione dei dati possano arrivare insieme.
Passi pratici per ridurre la tua esposizione
Non puoi impedire che un'azienda con cui hai a che fare subisca una violazione. Puoi limitare quanto danno ti fa una fuga di dati.
- Usa una password unica per ogni account. Un gestore di password rende tutto questo realistico. Se un servizio subisce una fuga di dati, gli altri restano al sicuro.
- Attiva l'autenticazione a più fattori, soprattutto per email, banking e qualsiasi account legato alla tua identità.
- Tratta i messaggi inaspettati con sospetto. Se un'email o un SMS menziona una recente violazione, vai tu stesso sul sito ufficiale dell'organizzazione invece di cliccare su un link.
- Condividi meno. Fornisci alle organizzazioni solo i dati di cui hanno davvero bisogno, ed elimina i vecchi account che non usi più.
- Tieni d'occhio i tuoi account. Controlla regolarmente gli estratti conto bancari e delle carte, e valuta un blocco o un avviso sul rapporto di credito dove il tuo Paese lo offre.
- Non dare mai per scontato che un avviso di violazione sia innocuo. Se ti viene comunicato che i tuoi dati sono stati coinvolti, cambia le password pertinenti e resta vigile per mesi nei confronti di truffe mirate.
Cosa significa questo per te
La domanda in prima pagina su DP World era se il commercio fosse a rischio, e la risposta, secondo il commento, era probabilmente no questa volta. Per gli individui, la lezione più duratura riguarda i dati. Con l'estorsione doppia, ripristinare i sistemi non annulla un furto. Le tue informazioni possono restare in circolazione molto tempo dopo che un'organizzazione si è ripresa e il ciclo di notizie è passato oltre.
Non è un motivo per allarmarsi. È un motivo per dare per scontato che alcuni dei tuoi dati prima o poi saranno esposti da qualche parte, e per configurare i tuoi account in modo che quell'esposizione sia sopportabile.
Punti chiave
Con l'estorsione doppia tramite ransomware spiegata, lo schema è chiaro: prima rubare, poi cifrare, quindi fare pressione sulla vittima due volte. Stringi le tue abitudini ora piuttosto che dopo l'arrivo di un avviso di violazione. Rivedi le tue password, abilita l'autenticazione a più fattori e diffida dei messaggi che sembrano sapere troppo su di te. Per uno sguardo più da vicino su come i record trapelati permangano, leggi la nostra copertura della rivendicazione di IDScan.net, e per un contesto sugli attori dietro il ransomware, consulta il nostro report sulla condanna di Nefilim.
