Violazioni dei dati

Gruppo di Hacking Lapsus$: Furto di Dati Senza Ransomware

23 settembre 20265 min di lettura

Di Marcus Weber — Certificato CISSP, 12 anni nel giornalismo sulla sicurezza informatica

Gruppo di Hacking Lapsus$: Furto di Dati Senza Ransomware

Cos'è Lapsus$ e Come Opera

Lapsus$ è un gruppo di hacking che si è costruito la propria reputazione su un metodo diverso dagli attacchi ransomware di cui la maggior parte delle persone ha sentito parlare. Invece di bloccare le vittime fuori dai propri sistemi con la crittografia e richiedere un pagamento per una chiave di decrittazione, Lapsus$ ha adottato un approccio più diretto: ha rubato i dati e ha minacciato di renderli pubblici se le sue richieste non fossero state soddisfatte.

Questa distinzione è più importante di quanto possa sembrare a prima vista. I tradizionali operatori di ransomware interrompono le operazioni aziendali rendendo file e sistemi inutilizzabili. Lapsus$ si è invece affidato all'estorsione e alla pressione reputazionale. La minaccia non era "pagaci o perderai l'accesso alla tua rete", ma "pagaci o esporremo i tuoi dati al mondo". Per le organizzazioni che detengono informazioni sensibili dei clienti, registri dei dipendenti o codice sorgente proprietario, questa minaccia da sola può essere sufficiente a forzare una risposta, indipendentemente dal fatto che un riscatto venga infine pagato.

Perché l'Estorsione dei Dati È un Tipo di Rischio Diverso

Gli attacchi ransomware tendono a generare un'interruzione immediata e visibile: i sistemi cadono, le operazioni si fermano e la pressione a pagare deriva dalla necessità di riprendere l'attività. I gruppi di estorsione dei dati come Lapsus$ creano un tipo diverso di pressione, costruita sulla paura dell'esposizione pubblica e sulle conseguenze a lungo termine che ne derivano. Una volta che i dati rubati vengono divulgati, non c'è modo di riportarli indietro. Clienti, partner e autorità di regolamentazione possono tutti venire a conoscenza della violazione contemporaneamente, e il danno alla fiducia può durare più a lungo di qualsiasi perdita finanziaria dovuta ai tempi di inattività.

Questo è in parte il motivo per cui le normative sulla protezione dei dati si sono sempre più concentrate sulla divulgazione delle violazioni e sulla responsabilità, piuttosto che solo sul tempo di attività dei sistemi. Nei mercati in cui le leggi sulla privacy comportano sanzioni finanziarie significative, un gruppo che ruba e minaccia di divulgare dati può innescare lo scrutinio normativo con la stessa facilità con cui può innescare una negoziazione del riscatto. Per avere un'idea di quanto seriamente alcune giurisdizioni ora trattino i dati personali gestiti in modo improprio, vale la pena esaminare come le sanzioni del DPDP Act indiano possano raggiungere multe fino a ₹250 crore per le organizzazioni che non riescono a proteggere i dati a loro affidati. Una violazione effettuata da un gruppo che utilizza tattiche in stile Lapsus$ potrebbe plausibilmente esporre un'azienda esattamente a questo tipo di rischio normativo, oltre alla richiesta di estorsione stessa.

Le Implicazioni per la Privacy dell'Hacking Basato sull'Estorsione

La preoccupazione principale per la privacy con gruppi come Lapsus$ è che le vittime raramente si limitano all'organizzazione che è stata violata. Quando i sistemi interni di un'azienda vengono compromessi e i dati dei clienti o dei dipendenti vengono rubati, chiunque abbia le proprie informazioni in quel database diventa potenzialmente una vittima. A differenza del ransomware, dove il danno immediato è spesso contenuto nelle operazioni della stessa organizzazione violata, l'estorsione dei dati ha un effetto a catena che si estende verso l'esterno a chiunque abbia i propri dati personali memorizzati sui sistemi compromessi.

Questo è anche il motivo per cui la supervisione di come i governi e le aziende private raccolgono, archiviano e accedono ai dati personali è diventata un dibattito politico così persistente. Le discussioni sulle autorità di sorveglianza, come il dibattito in corso sul rinnovo della Sezione 702 del FISA, e le discussioni sugli obblighi aziendali di protezione dei dati sono, in un certo senso, due facce della stessa medaglia. Entrambe sono risposte a un mondo in cui grandi volumi di dati personali vengono raccolti, archiviati e sempre più presi di mira da gruppi disposti a trasformare questi dati in un'arma per ottenere leva.

Cosa Significa per Te

Se sei un individuo, il rischio diretto da un gruppo come Lapsus$ riguarda meno la crittografia dei tuoi sistemi e più il fatto che i tuoi dati personali potrebbero trovarsi all'interno del database di un'organizzazione violata. Questi dati, una volta rubati, possono essere divulgati, venduti o utilizzati per ulteriori truffe come il phishing o il furto d'identità, indipendentemente dal fatto che l'organizzazione vittima originale paghi o meno una richiesta di estorsione.

Se lavori in un'organizzazione che gestisce dati di clienti o dipendenti, la conclusione è che gli attacchi basati sull'estorsione sono un promemoria del fatto che la minimizzazione dei dati e solidi controlli di accesso contano tanto quanto i piani di backup e ripristino. Non puoi divulgare dati che non sono mai stati raccolti o archiviati.

Azioni Concrete da Intraprendere

Comprendere gruppi come Lapsus$ è un contesto utile per chiunque rifletta seriamente sulla privacy digitale. Alcuni passi pratici che vale la pena considerare:

Presumi che qualsiasi account legato a un servizio che utilizzi possa un giorno far parte di una violazione, e usa password uniche e robuste insieme all'autenticazione a più fattori ovunque sia disponibile.
Monitora le notifiche delle aziende con cui interagisci riguardo a incidenti sui dati e prendi sul serio le email di notifica delle violazioni invece di liquidarle come routine.
Limita la quantità di informazioni personali che condividi con servizi che non ne hanno strettamente bisogno, poiché i dati che non fornisci mai non potranno essere rubati o divulgati in seguito.
Se gestisci sistemi in un'organizzazione, rivedi regolarmente le politiche di conservazione dei dati. Gli attacchi basati sull'estorsione funzionano solo se ci sono dati di valore da rubare in primo luogo.

Gruppi come Lapsus$ dimostrano che il panorama delle minacce si è evoluto oltre il semplice ransomware, e rimanere informati su come funzionano queste tattiche è uno dei modi più pratici per proteggere i tuoi dati in futuro.

// FAQ

In cosa si differenzia Lapsus$ dai tradizionali gruppi ransomware?

Invece di crittografare i sistemi e richiedere un pagamento per una chiave di decrittazione, Lapsus$ ruba i dati e minaccia di divulgarli pubblicamente se le sue richieste non vengono soddisfatte. Si affida all'estorsione e alla pressione reputazionale invece di interrompere le operazioni aziendali.

Chi può essere colpito da un attacco di estorsione dei dati in stile Lapsus$?

Le vittime raramente si limitano all'organizzazione violata; chiunque abbia i propri dati personali memorizzati sui sistemi compromessi diventa potenzialmente una vittima. Questo effetto a catena si estende a clienti, dipendenti, partner e autorità di regolamentazione.

Che tipo di pressione crea l'estorsione dei dati rispetto al ransomware?

L'estorsione dei dati crea una pressione costruita sulla paura dell'esposizione pubblica e delle conseguenze a lungo termine, piuttosto che sulla tipica interruzione operativa immediata del ransomware. Una volta che i dati rubati vengono divulgati, non possono essere ripristinati, e il danno alla fiducia può durare più a lungo delle perdite finanziarie dovute ai tempi di inattività.

Come può l'estorsione dei dati innescare lo scrutinio normativo?

Nei mercati in cui le leggi sulla privacy comportano sanzioni finanziarie significative, un gruppo che ruba e minaccia di divulgare dati può innescare lo scrutinio normativo con la stessa facilità di una negoziazione del riscatto. Ad esempio, le sanzioni del DPDP Act indiano possono raggiungere multe fino a ₹250 crore per le organizzazioni che non riescono a proteggere i dati affidati loro.

Qual è la principale preoccupazione per la privacy con gruppi come Lapsus$?

La principale preoccupazione per la privacy è che il danno si estende oltre l'organizzazione violata a chiunque abbia le proprie informazioni nel database compromesso. A differenza del ransomware, dove il danno è spesso contenuto nelle operazioni dell'organizzazione, l'estorsione dei dati ha un effetto a catena verso l'esterno su chiunque abbia i propri dati personali memorizzati.