Quando le forze dell'ordine hanno sbirciato dietro le quinte

Nel febbraio 2024, una coalizione di agenzie internazionali di contrasto ha smantellato l'infrastruttura dietro LockBit, una delle operazioni ransomware più prolifiche della memoria recente. Ciò che gli investigatori hanno trovato quando hanno avuto accesso ai sistemi di LockBit era più che semplici prove di attività criminale. Hanno scoperto che il gruppo aveva conservato copie dei dati rubati alle vittime anche dopo aver detto a quelle vittime, spesso in cambio di un pagamento, che i dati erano stati cancellati.

Questo singolo dettaglio è molto più importante di quanto potrebbe sembrare a prima vista. Per anni, il manuale standard per le organizzazioni colpite da ransomware ha incluso un'opzione scomoda e silenziosa: pagare il riscatto, ottenere una promessa di cancellazione dall'aggressore e andare avanti. La rivelazione di LockBit conferma ciò che molti ricercatori di sicurezza sospettavano da tempo. Quella promessa spesso non vale nulla, e le vittime spesso non hanno modo di saperlo.

Il divario tra ciò che viene detto alle vittime e ciò che accade realmente

Le trattative per il ransomware avvengono tipicamente lontano dagli occhi del pubblico, mediate da società di risposta agli incidenti, assicuratori o dalle stesse organizzazioni vittime. Quando un gruppo criminale afferma di aver cancellato i file rubati, raramente c'è un modo indipendente per verificare tale affermazione. Alle vittime viene essenzialmente chiesto di fidarsi della parola dello stesso attore che ha violato i loro sistemi e rubato i loro dati in primo luogo.

Il caso LockBit mostra perché quella fiducia è mal riposta. Anche quando un'impresa criminale è abbastanza sofisticata da gestire un'operazione di "servizio clienti" funzionante per le sue vittime, completa di portali di negoziazione e certificati di cancellazione, l'incentivo sottostante a distruggere effettivamente i dati rubati preziosi semplicemente non c'è. I dati hanno valore di rivendita, valore di leva e valore futuro per estorsioni. Cancellarli va contro gli interessi dell'aggressore.

Questa discrepanza raramente fa notizia come l'annuncio di una violazione. Le aziende che pagano in silenzio per far sparire un problema hanno pochi motivi per rendere pubblico che la promessa di cancellazione non è stata onorata, soprattutto se non lo scoprono mai. Quel silenzio è parte del motivo per cui gli esiti negativi accadono più spesso di quanto suggeriscano i registri pubblici. Lo smantellamento dell'infrastruttura di LockBit è uno dei pochi casi in cui il divario tra promessa e realtà è diventato visibile, più o meno allo stesso modo in cui l'interruzione da parte di Google di una rete di hacking legata al PCC ha sollevato il velo su attività che altrimenti sarebbero rimaste nascoste alle organizzazioni colpite.

Perché questo dovrebbe cambiare il modo in cui le organizzazioni pensano al ransomware

Il punto pratico non è che pagare un riscatto sia sempre la scelta sbagliata. Ogni incidente ha le sue pressioni legali, operative e finanziarie, e alcune organizzazioni potrebbero comunque decidere che il pagamento è l'opzione meno peggiore. Il punto è che il pagamento non dovrebbe mai essere considerato una risoluzione a un problema di esposizione dei dati.

Una volta che i dati escono dal controllo di un'organizzazione, dovrebbero essere trattati come permanentemente compromessi, indipendentemente da qualsiasi rassicurazione successiva. Ciò significa che gli obblighi di notifica, le comunicazioni con i clienti e le valutazioni dei rischi devono procedere come se i dati rubati fossero ancora in circolazione, perché molto probabilmente lo sono. Le polizze di cyberassicurazione e i piani di risposta agli incidenti che presuppongono una risoluzione pulita dopo il pagamento si basano su una premessa obsoleta e sempre più screditata.

Cosa significa questo per te

Per le persone i cui dati potrebbero essere stati coinvolti in una violazione legata a un attacco ransomware, la rivelazione di LockBit è un promemoria per non abbassare la guardia solo perché un'azienda annuncia che l'incidente è "risolto". Una promessa di cancellazione da parte di criminali non è una garanzia, e le tue informazioni potrebbero rimanere esposte molto tempo dopo che i titoli dei giornali sono scomparsi.

Per le aziende, soprattutto quelle piccole e medie senza team di sicurezza dedicati, questo è un motivo per puntare sulla prevenzione piuttosto che sulla negoziazione. Pratiche di backup robuste, segmentazione della rete e igiene di base degli endpoint riducono le probabilità di trovarsi mai nella posizione di dover fare affidamento sulla parola di un estorsore. Rivedere come sono protetti gli account personali e professionali, incluso se il traffico sensibile viene instradato attraverso connessioni sicure, è un punto di partenza ragionevole; alcune organizzazioni prendono in considerazione opzioni come quelle trovate su pagine che confrontano fornitori come IVPN o Mozilla VPN come parte di uno sforzo più ampio per ridurre l'esposizione, anche se nessuno strumento singolo sostituisce una strategia di sicurezza completa.

Conclusioni pratiche

  • Dai per scontato che tutti i dati rubati in un incidente ransomware rimangano a rischio indefinitamente, anche se viene fatta una promessa di cancellazione.
  • Non permettere che un pagamento di riscatto sostituisca la piena notifica della violazione e le misure di protezione dei clienti.
  • Dai priorità ai backup e alla segmentazione della rete in modo che pagare gli aggressori non sia mai l'unica opzione sul tavolo.
  • Se vieni informato che i tuoi dati sono stati coinvolti in una violazione, monitora i tuoi account e i rapporti di credito ben oltre l'annuncio iniziale.
  • Chiedi trasparenza a qualsiasi organizzazione che gestisce i tuoi dati su come risponde agli incidenti ransomware, non solo se ha pagato.

Lo smantellamento di LockBit ha offerto uno sguardo raro e non filtrato su come l'estorsione informatica si svolge realmente una volta che i criminali non hanno più il controllo della narrazione. Trattare le promesse di cancellazione come fatti, piuttosto che come affermazioni non verificate da un attore ostile, ha lasciato troppe vittime con un falso senso di chiusura. Rimanere scettici e preparati rimane la migliore strategia a lungo termine.