Quando la maggior parte delle persone immagina un attacco ransomware, pensa a schermate bloccate e file crittografati. Con Medusa, questa immagine è incompleta. Le segnalazioni sul gruppo, che ha ormai colpito più di 500 vittime, indicano un modello che conta molto di più per le persone comuni: il furto di dati del ransomware Medusa prima della crittografia significa che il danno può essere fatto prima che qualcuno noti un problema.

Questo articolo spiega come funziona quella sequenza, perché espone individui e organizzazioni, e cosa puoi fare al riguardo. Si basa sul riassunto dell'articolo originale e sulla nostra precedente copertura del gruppo.

Come Medusa ruba i dati prima di crittografarli

Medusa opera attraverso affiliati, e l'articolo originale descrive come questi sfruttino sistemi esposti per entrare. Ciò significa che i servizi esposti a Internet e il software non aggiornato sono la porta d'ingresso tipica, non un trucco sofisticato rivolto a un singolo dipendente.

Una volta dentro, gli affiliati prelevano prima i dati e crittografano dopo. Il furto avviene silenziosamente, spesso mentre i sistemi sembrano ancora funzionare normalmente. La crittografia arriva dopo, ed è l'evento visibile che finalmente allerta la vittima. A quel punto, copie di file sensibili possono già trovarsi al di fuori della rete.

Questo ordine spiega perché l'articolo originale sostiene una strategia improntata alla prevenzione. Se i difensori reagiscono solo quando i file sono bloccati, il passo più dannoso ha già avuto luogo. Impedire ai dati di uscire dalla rete e chiudere i punti d'ingresso esposti conta più del solo ripristino dai backup.

Perché il modello della doppia estorsione espone le persone comuni

Poiché i dati vengono rubati prima della crittografia, le vittime affrontano due minacce separate. Una è la perdita di accesso ai propri sistemi. L'altra è la pubblicazione o la vendita delle informazioni rubate se si rifiutano di pagare. Il ripristino dai backup risolve il primo problema ma non fa nulla per il secondo.

È qui che entrano in gioco gli individui. Le organizzazioni conservano record su clienti, pazienti, dipendenti e studenti. Quando un affiliato copia quei file, le persone nominate al loro interno sono esposte, anche se non hanno mai avuto voce in capitolo su come l'organizzazione proteggeva i propri sistemi. Pagare o non pagare il riscatto non annulla la copia.

La nostra copertura degli avvisi federali mostra come questo si manifesta in settori che conservano record sensibili. Il nostro report su come le agenzie federali hanno aggiornato le loro linee guida su Medusa per l'assistenza sanitaria descrive come opera il gruppo, incluso il suo approccio al riscatto. I dati sanitari sono particolarmente personali, quindi un file rubato in quel contesto può avere conseguenze durature per le persone in esso contenute.

Cosa rivelano le oltre 500 vittime di Medusa sulla minaccia

Il dato principale è la scala. Il nostro precedente articolo sulle oltre 500 organizzazioni violate da Medusa copre l'avvertimento congiunto di CISA, FBI e HHS. Un numero così alto dimostra che si tratta di un'operazione sostenuta e ripetibile, non di una campagna isolata.

Da quella scala derivano alcune considerazioni:

  • Il modello funziona in tutti i settori. Gli affiliati si affidano a debolezze comuni come i sistemi esposti, quindi le vittime variano ampiamente per dimensioni e settore.
  • Rifiutarsi di pagare non è una difesa completa. Il produttore svizzero Stadler Rail ha respinto una richiesta di riscatto Medusa da 12,3 milioni di dollari, il che mostra che alcune vittime scelgono di non pagare. Ma rifiutarsi di pagare non annulla alcun furto di dati già avvenuto.
  • Il prezzo è calcolato. Come abbiamo notato trattando di come Medusa lega le richieste di riscatto ai ricavi, il gruppo personalizza le sue richieste invece di usare una tariffa fissa.

Nel complesso, il quadro è quello di un gruppo che tratta i dati rubati come leva e le vittime come clienti da tariffare.

Passi pratici per ridurre la tua esposizione

Non puoi applicare patch ai server di un'altra organizzazione, ma puoi limitare ciò che una fuga di dati rivelerebbe e quanto lontano potrebbe diffondersi.

  • Usa password uniche e un gestore di password. Se una violazione espone le credenziali, le password uniche impediscono a una singola fuga di sbloccare altri account.
  • Attiva l'autenticazione a più fattori. Preferisci metodi basati su app o hardware rispetto agli SMS, dove disponibili.
  • Condividi meno. Fornisci alle organizzazioni solo i dettagli personali di cui hanno veramente bisogno. I dati che non sono mai stati raccolti non possono essere rubati.
  • Attento alle frodi successive. I record rubati spesso alimentano il phishing. Tratta con sospetto i messaggi inaspettati che fanno riferimento a dettagli personali reali.
  • Considera un blocco del credito. Se identificatori sensibili potrebbero essere esposti, un blocco rende più difficile aprire conti a tuo nome.
  • Mantieni aggiornati i tuoi dispositivi. La stessa disciplina che i difensori raccomandano alle organizzazioni, l'applicazione tempestiva delle patch, vale anche a casa.

Una VPN può proteggere il tuo traffico su reti non attendibili, ma non protegge i dati già detenuti sui server di qualcun altro. Considerala uno strato, non una soluzione a questa minaccia.

Cosa significa per te

La lezione chiave è che la richiesta di riscatto non è l'inizio del danno. Quando appare, le tue informazioni potrebbero già essere state copiate. Questo sposta la domanda da "l'organizzazione pagherà?" a "cosa sarebbe esposto se non lo facesse?". Presumi che qualsiasi organizzazione che detiene i tuoi dati potrebbe essere violata, e limita la tua esposizione di conseguenza.

Per chi gestisce o lavora in piccole organizzazioni, il messaggio di prevenzione dell'articolo originale si applica direttamente: riduci i sistemi esposti, applica le patch tempestivamente e vigila sui dati che lasciano la tua rete, non solo sui file che vengono bloccati.

Considerazioni finali e prossimi passi

Il furto di dati del ransomware Medusa prima della crittografia è la ragione principale per cui il conteggio di oltre 500 vittime di questo gruppo conta per tutti, non solo per i team IT. Per vedere come opera il gruppo e cosa raccomandano le agenzie, leggi la nostra copertura delle oltre 500 organizzazioni violate e le linee guida aggiornate per l'assistenza sanitaria. Poi prenditi dieci minuti per rivedere i tuoi account: cambia le password riutilizzate, abilita l'autenticazione a più fattori e considera quali dati personali potresti smettere di condividere.