Cosa Rende Diverso il Ransomware a Multi-Estorsione
Per anni, il manuale standard del ransomware era semplice: cifrare i file della vittima, chiedere un pagamento per la chiave di decrittazione e sperare che l'organizzazione non disponesse di backup affidabili. Quel modello ha costruito un intero settore attorno alla resilienza. Se riuscivi a ripristinare i tuoi sistemi da un backup pulito, la leva dell'attaccante svaniva.
Il ransomware a multi-estorsione rompe questa equazione. Invece di affidarsi esclusivamente alla cifratura, gli attaccanti ora esfiltrano silenziosamente una copia dei dati sensibili prima ancora di attivare il payload di cifratura. La richiesta di riscatto diventa una seconda minaccia, separata: paga, oppure pubblichiamo o vendiamo ciò che abbiamo rubato. Anche se una vittima ripristina ogni sistema dal backup nel giro di poche ore, i dati rubati restano sui server dell'attaccante e la minaccia di esposizione rimane completamente intatta.
Questo cambiamento riflette una trasformazione più ampia nel modo in cui gli operatori ransomware pensano al loro business. Come ha mostrato il reportage sull'analisi di Group-IB del modello di business in evoluzione del ransomware, l'economia del ransomware nel 2026 è meno incentrata su un singolo punto di guasto e più sulla massimizzazione di ogni possibile fonte di leva contro una vittima. Il furto di dati è diventato un flusso di entrate autonomo, non solo un complemento alla cifratura.
Perché i Backup da Soli Non Garantiscono Più il Recupero
Il vecchio consiglio, tieni buoni backup e testa i tuoi ripristini, conta ancora. Il recupero operativo dipende da questo. Ma i backup risolvono solo metà del problema creato dal ransomware a multi-estorsione. Un backup testato e isolato può rimettere online rapidamente il tuo ospedale, comune o azienda. Non può impedire che le cartelle cliniche dei pazienti, i dati dei dipendenti o i contratti riservati compaiano su un sito di fuga dati.
È proprio questa la tendenza segnalata dalla ricerca di Quorum Cyber sul passaggio verso l'estorsione tramite furto di dati, che ha rilevato come gli attaccanti compromettano sempre più le organizzazioni per i dati stessi, anziché trattare la cifratura come l'arma principale. Quando il guadagno deriva dalle informazioni rubate, cambia anche la velocità dell'intrusione. Recenti reportage sul perché la velocità ora determina il recupero dal ransomware indicano che gli attaccanti passano dall'accesso iniziale all'esfiltrazione dei dati più rapidamente di quanto i difensori riescano tipicamente a rilevare e rispondere. Quando inizia la cifratura, i dati potrebbero già essere spariti.
Il Ruolo della Segmentazione di Rete e dei Controlli di Accesso VPN
Se i backup da soli non neutralizzano più la minaccia, la difesa più efficace è impedire agli attaccanti di raggiungere i dati sensibili in primo luogo, o almeno limitare quanto possono raggiungere in una singola intrusione. È qui che la segmentazione di rete e l'accesso remoto controllato diventano centrali anziché opzionali.
La segmentazione di rete divide i sistemi di un'organizzazione in zone isolate, in modo che una workstation o un server compromesso non conceda automaticamente accesso a ogni condivisione file, database o repository di backup sulla rete. Se gli attaccanti violano un segmento, la segmentazione limita quanto possono muoversi lateralmente prima di attivare allarmi o incontrare un vicolo cieco. Quel contenimento riduce direttamente la quantità di dati disponibili per il furto.
I controlli di accesso basati su VPN giocano un ruolo complementare. Richiedere connessioni VPN autenticate e cifrate per l'accesso remoto ai sistemi sensibili, combinato con il principio del minimo privilegio, significa che persino credenziali dall'aspetto legittimo non concedono un accesso ampio e senza restrizioni. L'accesso dovrebbe essere limitato rigorosamente a ciò di cui un determinato utente o servizio ha effettivamente bisogno. L'autenticazione a più fattori sugli accessi VPN, il monitoraggio delle sessioni e la revoca tempestiva degli account inutilizzati o orfani riducono tutti il numero di punti d'ingresso che gli attaccanti possono sfruttare per raggiungere dati meritevoli di esfiltrazione.
Costruire una Strategia a Strati
Nessun singolo controllo ferma il ransomware a multi-estorsione. L'obiettivo realistico è uno stack a strati: backup cifrati e immutabili per il recupero operativo; segmentazione per contenere il movimento laterale; controlli di accesso rigorosi (inclusi gateway VPN con MFA) per limitare ciò a cui ogni singola credenziale compromessa può accedere; e un piano di risposta agli incidenti collaudato che tenga conto dell'esposizione dei dati, non solo del fermo dei sistemi.
Quest'ultimo aspetto conta più di quanto molte organizzazioni realizzino. Come visto in incidenti come l'attacco ransomware al Ministero della Giustizia colombiano, l'interruzione delle operazioni e le domande sui dati compromessi tendono ad arrivare insieme, e le organizzazioni hanno bisogno di piani di risposta che affrontino entrambi simultaneamente, non in sequenza.
Cosa Significa per Te
Per i team IT e di sicurezza, il punto chiave è che la difesa contro il ransomware a multi-estorsione non può fermarsi alla strategia di backup. Budget e attenzione devono spostarsi verso la limitazione dell'esposizione dei dati prima che un attaccante raggiunga la fase di cifratura. Per i singoli dipendenti, questa tendenza è un promemoria che il phishing rimane un punto d'ingresso principale; la ricerca sul ruolo del phishing negli attacchi ransomware sottolinea quanto di questo rischio inizi con un singolo link cliccato o una credenziale inserita su una falsa pagina di login.
Azioni Concrete da Intraprendere
Le organizzazioni che affrontano le sfide della difesa contro il ransomware a multi-estorsione dovrebbero dare priorità ad alcuni passi concreti: segmentare le reti in modo che nessuna singola violazione esponga tutto, applicare l'accesso con minimo privilegio tramite gateway VPN con autenticazione a più fattori, cifrare i backup e testare regolarmente i ripristini, e costruire piani di risposta agli incidenti che affrontino esplicitamente il furto di dati insieme al fermo dei sistemi. Nessuno di questi passi elimina completamente il rischio, ma insieme restringono la finestra a disposizione degli attaccanti per rubare dati e riducono la leva di cui dispongono una volta riusciti.
