Il ransomware non riguarda più solo la crittografia

Per anni, il consiglio standard per combattere il ransomware si è concentrato su una cosa: eseguire il backup dei dati per non dover mai pagare un riscatto. Quel consiglio conta ancora, ma secondo una recente analisi di KnowBe4, azienda specializzata in formazione sulla consapevolezza della sicurezza, non rappresenta più il quadro completo di come operano realmente le moderne campagne ransomware.

Il ransomware si è evoluto in quello che KnowBe4 descrive come un modello di interruzione delle attività aziendali, costruito meno sulla forza bruta del malware e più su identità rubate e ingegneria sociale. Invece di limitarsi a bloccare i file e chiedere un pagamento per una chiave di decrittazione, gli aggressori si concentrano sempre più sull'introdursi in un'organizzazione utilizzando credenziali legittime e rubate, per poi sfruttare quell'accesso fidato per causare il massimo danno operativo prima che qualcuno se ne accorga.

Questo cambiamento è importante per la privacy tanto quanto per la sicurezza informatica. Quando i gruppi ransomware rubano identità per introdursi, i dati personali legati a quelle identità, login dei dipendenti, registri dei clienti, comunicazioni interne, diventano parte della superficie d'attacco. Un incidente ransomware oggi raramente è solo un evento di crittografia; spesso è anche un evento di esposizione dei dati.

Perché le identità rubate sono il nuovo punto d'ingresso

L'immagine tradizionale di un attacco ransomware coinvolge un allegato email dannoso o un server vulnerabile e non aggiornato. Questi vettori non sono scomparsi, ma vengono sempre più spesso affiancati o sostituiti da tattiche più semplici: phishing per rubare credenziali, ingannare i help desk per far reimpostare le password, o sfruttare configurazioni deboli di autenticazione multi-fattore per ottenere l'accesso come utente fidato.

Una volta dentro, gli aggressori non devono "hackerare" nulla nel senso tradizionale. Accedono come qualsiasi altro dipendente, si muovono silenziosamente attraverso la rete e individuano i sistemi e i dati la cui interruzione causerà più dolore, e quindi più potere contrattuale per una richiesta di riscatto. Questo è ciò che KnowBe4 intende descrivendo il ransomware come un modello di interruzione delle attività aziendali: l'obiettivo non è solo crittografare i dati, ma far sì che le operazioni di un'organizzazione si fermino completamente finché non viene effettuato il pagamento.

Questo approccio riecheggia ciò che è stato osservato più ampiamente nell'ecosistema ransomware-as-a-service. Gruppi come l'operazione descritta nella nostra copertura di LockBit 5.0 e la vita dopo l'Operazione Cronos mostrano come gli affiliati del ransomware abbiano professionalizzato le loro operazioni, trattando ogni attacco meno come un colpo rapido e più come una negoziazione aziendale calcolata, completa di tattiche di pressione e minacce reputazionali.

Ripensare le difese dal ransomware per una minaccia incentrata sull'identità

Se il furto d'identità e l'ingegneria sociale sono ora il principale mezzo con cui il ransomware mette piede, allora le difese costruite esclusivamente attorno alla sicurezza perimetrale di rete e agli strumenti antivirus affrontano il problema di ieri. La proposta di KnowBe4 suggerisce che le organizzazioni devono trattare la verifica dell'identità e il comportamento umano come parti centrali della difesa dal ransomware, non come ripensamenti.

In pratica, ciò significa processi di verifica dell'identità più forti per il ripristino delle password e il recupero degli account, autenticazione multi-fattore resistente al phishing invece di codici SMS facilmente bypassabili, e formazione continua dei dipendenti che tratti l'ingegneria sociale come una minaccia attiva e in evoluzione, non come un esercizio di conformità una tantum. I backup e la segmentazione della rete rimangono essenziali, ma ora sono la seconda linea di difesa, non la prima.

La posta in gioco di questo cambiamento sta attirando attenzione anche a livello politico. Come abbiamo riportato, i governi stanno valutando un divieto del pagamento dei riscatti in mezzo ad attacchi guidati dall'IA, un segno che i regolatori riconoscono che l'attuale modello di difesa, pagare per far sparire il problema, non è sostenibile man mano che gli attacchi diventano più rapidi e convincenti.

Cosa significa per te

Che tu sia un decisore IT o semplicemente qualcuno il cui datore di lavoro detiene i tuoi dati personali, questa evoluzione nelle tattiche ransomware ha conseguenze reali. Se gli aggressori entrano rubando identità piuttosto che sfruttando difetti del software, allora la sicurezza delle tue credenziali di accesso, e la cura con cui la tua organizzazione verifica l'identità prima di concedere l'accesso, influisce direttamente su quanto quell'organizzazione sia vulnerabile a un'interruzione costosa.

Per i singoli individui, questo rafforza un punto familiare ma sempre più urgente: password riutilizzate, MFA debole e risposte casuali a richieste inaspettate di ripristino password non sono solo rischi personali, sono potenziali punti d'ingresso per attacchi che possono propagarsi e colpire i dati di migliaia di persone. Per le aziende, significa che la difesa dal ransomware deve essere compresa come un problema di identità e comportamento umano tanto quanto tecnico.

Raccomandazioni pratiche

  • Abilita l'autenticazione multi-fattore resistente al phishing dove possibile ed evita di fare affidamento esclusivamente su codici SMS.
  • Sii scettico verso richieste inaspettate di ripristino password o verifica account, anche se sembrano provenire da help desk interni.
  • Le organizzazioni dovrebbero verificare come funziona la verifica dell'identità per il recupero degli account, poiché questo è un punto d'ingresso sempre più comune per il ransomware.
  • Tratta la formazione regolare sulla consapevolezza della sicurezza come una necessità continua, non come una casella da spuntare una volta, poiché le tattiche di ingegneria sociale evolvono rapidamente.
  • Mantieni backup offline e testati come seconda linea di difesa, comprendendo che fermare le intrusioni basate sull'identità conta tanto quanto recuperare dalla crittografia.

L'evoluzione del ransomware in un modello di interruzione delle attività guidato dall'identità non significa che la battaglia sia persa. Significa che la battaglia si è spostata. Le difese che un tempo si concentravano strettamente su malware e backup ora devono tenere conto di quanto facilmente un'identità rubata possa aprire la porta a un'intera rete, e questo inizia trattando la sicurezza dell'identità come inseparabile dalla difesa dal ransomware stessa.