Cosa è successo a NEPSE e perché inizialmente è stato definito un glitch

Lunedì, le contrattazioni alla Nepal Stock Exchange (NEPSE) si sono fermate. La spiegazione iniziale offerta agli investitori era vaga: un "glitch tecnico" aveva interrotto le operazioni. In realtà, l'interruzione è stata causata da un attacco ransomware rilevato intorno alle 5:30 di quel giorno, diretto contro Data Hub, il fornitore di infrastrutture che ospita i trading management system (TMS) per 72 società di intermediazione mobiliare collegate a NEPSE.

Poiché Data Hub funge da backbone centralizzato per così tanti broker contemporaneamente, un singolo attacco riuscito ai suoi server è stato sufficiente a congelare l'intero mercato. Gli investitori sono rimasti incerti, i broker non hanno potuto elaborare le operazioni, e la borsa stessa non ha avuto altra scelta che sospendere la sessione mentre veniva valutata la portata dei danni.

La decisione di descrivere inizialmente l'incidente come un "glitch tecnico" anziché un attacco ransomware non è insolita. Le organizzazioni che affrontano un attacco informatico spesso ricorrono a un linguaggio più soft nelle prime dichiarazioni, in parte perché la portata completa di un'intrusione non è immediatamente chiara, e in parte per evitare di allarmare clienti, partner o autorità di regolamentazione prima che l'indagine sia completa. Ma questo schema di sottodimensionamento o errata classificazione degli incidenti può ritardare la risposta di tutti gli attori a valle, inclusi broker, investitori e altre istituzioni che potrebbero essere esposte alla stessa vulnerabilità.

Come funzionano effettivamente la crittografia ransomware e la doppia estorsione

Il ransomware è un tipo di software malevolo che crittografa file e dati sui sistemi infettati. Una volta che la crittografia ha effetto, i file colpiti non possono più essere aperti o utilizzati normalmente. Gli attaccanti tipicamente lasciano una nota di riscatto che richiede un pagamento, solitamente in criptovaluta, in cambio di una chiave di decrittazione che ripristinerebbe l'accesso.

Ciò che rende gli attacchi ransomware moderni più dannosi rispetto alle versioni precedenti è una tattica nota come "doppia estorsione". In questo modello, gli attaccanti non si limitano a bloccare i file. Prima di attivare la crittografia, copiano silenziosamente i dati sensibili dalla rete. Questo conferisce loro un secondo punto di leva: anche se l'organizzazione vittima dispone di backup e può ripristinare i propri sistemi senza pagare, gli attaccanti possono comunque minacciare di divulgare o vendere pubblicamente i dati rubati a meno che non venga pagato un riscatto. Per un'istituzione come l'hub dati di una borsa valori, che gestisce informazioni sensibili sulla intermediazione e possibilmente sugli investitori, quella seconda minaccia può essere dannosa quanto l'interruzione originale.

Questa evoluzione nelle tattiche fa parte di una tendenza più ampia. Gli attaccanti affinano costantemente il modo in cui pressano le vittime affinché paghino, e alcuni gruppi stanno ora spingendosi ancora oltre utilizzando l'automazione per accelerare e personalizzare le loro richieste di estorsione. Per uno sguardo più approfondito su quanto siano progredite queste tattiche, si veda questo articolo su come le gang ransomware ora usano l'IA per pressare le vittime con maggiore insistenza.

Segnali d'allarme che le organizzazioni minimizzano dopo un attacco informatico

L'incidente NEPSE è un caso di studio utile su come il linguaggio utilizzato per descrivere un incidente informatico possa plasmare la comprensione pubblica della sua gravità. Termini come "glitch tecnico", "interruzione del sistema" o "problema di connettività" sono spesso tecnicamente veri in senso stretto: i sistemi si sono guastati, la connettività è stata persa. Ma omettono la causa, che in questo caso era un attacco criminale deliberato piuttosto che una routine di manutenzione del sistema o un guasto hardware.

Questo divario tra ciò che viene divulgato e ciò che è effettivamente accaduto è importante perché influisce sulla rapidità con cui le parti colpite possono proteggersi. I broker che si affidano ai server TMS di Data Hub, ad esempio, vorrebbero sapere immediatamente se i propri dati dei clienti potrebbero essere stati esposti, non solo che le contrattazioni sono state temporaneamente sospese. Anche gli investitori che decidono se fidarsi della borsa con informazioni finanziarie sensibili beneficiano di una divulgazione accurata e tempestiva piuttosto che di eufemismi.

Difese pratiche: backup, sicurezza di rete e uso della VPN

Sebbene i singoli investitori non possano controllare come una borsa valori o i suoi fornitori proteggano la propria infrastruttura, l'incidente NEPSE è un promemoria delle difese a strati che riducono i danni da ransomware, sia per le grandi istituzioni che per le piccole imprese.

I backup offline testati regolarmente rimangono una delle contromisure più efficaci, poiché consentono a un'organizzazione di ripristinare i dati crittografati senza bisogno della chiave di decrittazione dell'attaccante. La segmentazione della rete, che limita la diffusione di un'intrusione una volta che questa ha ottenuto un punto d'appoggio, può anche impedire che un singolo server compromesso abbatta i sistemi di decine di aziende collegate, come sembra essere accaduto con il modello centralizzato di Data Hub. Per l'accesso remoto e le connessioni amministrative, una VPN configurata correttamente aggiunge un ulteriore livello di protezione crittografando il traffico e limitando chi può raggiungere i sistemi sensibili in primo luogo, riducendo la superficie d'attacco esposta che gli operatori ransomware cercano.

Cosa significa per te

Se sei un investitore o un broker collegato a sistemi come quello di NEPSE, il messaggio più importante è quello di non prendere per buone le vaghe dichiarazioni ufficiali. Approfondisci i dettagli dietro termini come "glitch tecnico" e chiedi se dati personali o finanziari possano essere stati compromessi. Per le aziende di qualsiasi dimensione, questo incidente sottolinea che centralizzare infrastrutture critiche presso un unico fornitore, come ha fatto Data Hub per 72 broker, crea un singolo punto di guasto che gli attaccanti possono sfruttare per un impatto sproporzionato.

Punti chiave

  • Gli attacchi ransomware vengono sempre più spesso presentati pubblicamente come generici "problemi tecnici", quindi conviene porre domande dirette dopo qualsiasi interruzione del servizio.
  • La doppia estorsione significa che pagare un riscatto per una chiave di decrittazione non garantisce che i dati rubati non vengano comunque divulgati.
  • Backup, segmentazione della rete e accesso remoto protetto da VPN sono difese pratiche e collaudate contro la diffusione del ransomware attraverso infrastrutture condivise.
  • Poiché le tattiche di estorsione diventano più sofisticate, incluso l'uso dell'IA per pressare le vittime, rimanere informati sui metodi degli attaccanti aiuta organizzazioni e individui a rispondere più rapidamente ed efficacemente.