Nuovi dati confermano che pagare i ransomware non garantisce una sicurezza duratura

Una recente indagine evidenziata da The Register, e trattata in un breve articolo di SC Media, si aggiunge a un crescente corpo di prove che pagare una richiesta di riscatto non ferma in modo affidabile gli attacchi futuri. Le organizzazioni che pagano per recuperare i dati o far cessare l'estorsione vengono spesso prese di mira di nuovo, a volte dallo stesso gruppo criminale, altre da uno completamente diverso che ha saputo della disponibilità a pagare della vittima. Questo schema sta emergendo anche mentre operazioni coordinate delle forze dell'ordine, come l'Operazione Cronos, lavorano per smantellare dall'interno le principali reti di ransomware.

Il punto è chiaro ma scomodo per molte organizzazioni: i pagamenti per riscatti e gli attacchi ripetuti sono strettamente correlati, non perché il pagamento garantisca sicurezza, ma perché spesso segnala agli aggressori che l'obiettivo è redditizio e impreparato.

Perché pagare crea un falso senso di sicurezza

Quando un'azienda si trova bloccata fuori dai propri sistemi o minacciata di una fuga di dati pubblica, pagare un riscatto può sembrare il modo più rapido per tornare alla normale operatività. Ma i nuovi dati rafforzano ciò che i ricercatori di sicurezza sostengono da anni: il pagamento è una transazione, non una garanzia. Le gang di ransomware sono imprese criminali e non esiste un accordo vincolante che garantisca che i dati vengano cancellati, che le chiavi di decrittazione funzionino effettivamente o che le stesse vulnerabilità non vengano sfruttate di nuovo.

Le organizzazioni che pagano spesso lo fanno perché mancano di backup adeguati, piani di risposta agli incidenti o delle competenze interne per ricostruire rapidamente i sistemi. Quelle stesse debolezze di fondo tendono a rimanere dopo il pagamento del riscatto, il che significa che la porta che ha fatto entrare gli aggressori la prima volta è spesso ancora aperta. Pagare affronta la crisi immediata, non la causa radice.

È proprio questo il motivo per cui un sondaggio di Proofpoint ha rilevato che pagare le gang di ransomware si ritorce contro molto più spesso di quanto le vittime si aspettino. Il sondaggio ha messo numeri concreti dietro l'avvertimento, mostrando che una quota significativa di organizzazioni che hanno pagato ha comunque subito perdita di dati, ulteriori tentativi di estorsione o nuove violazioni.

Come le gang di ransomware identificano e riprendono di mira chi ha già pagato

Le operazioni di ransomware funzionano sempre più come imprese, complete di reti di affiliati, assistenza clienti per le vittime e intelligence condivisa su quali bersagli convenga attaccare. Una volta che un'organizzazione paga, quell'informazione può circolare tra i gruppi criminali, tramite condivisione diretta dei dati, vendita dell'accesso alla rete o semplice reputazione nei forum clandestini.

Una vittima che paga rapidamente e senza opporre resistenza significativa diventa una quantità nota: un bersaglio facile con una comprovata disponibilità a sborsare denaro. Anche quando azioni delle forze dell'ordine come l'Operazione Cronos riescono a interrompere specifiche infrastrutture di ransomware, l'ecosistema sottostante di broker di accesso, credenziali rubate e vulnerabilità non corrette che ha portato alla violazione originale rimane spesso disponibile per altri attori malevoli. Smantellare una gang non protegge necessariamente una precedente vittima da un'altra che sfrutti le stesse debolezze.

Difese pratiche: backup, segmentazione e rafforzamento delle VPN

La lezione più chiara che emerge da questi dati è che prevenzione e resilienza contano più della negoziazione. Alcuni passi concreti fanno una differenza misurabile:

  • Mantenere backup offline e testati. I backup disconnessi dalla rete principale e testati regolarmente per il ripristino sono il modo più efficace per evitare del tutto di dover pagare.
  • Segmentare le reti. Limitare la capacità di movimento di un aggressore una volta penetrato riduce il raggio d'azione di qualsiasi singolo account o dispositivo compromesso.
  • Rafforzare l'accesso remoto. VPN e strumenti di desktop remoto sono punti di ingresso comuni per il ransomware. Applicare l'autenticazione a più fattori, aggiornare tempestivamente il software VPN e chiudere i punti di accesso remoto inutilizzati elimina un facile punto d'appoggio per gli aggressori.
  • Costruire un piano di risposta agli incidenti prima che si verifichi un attacco. Sapere chi chiamare, come isolare i sistemi colpiti e come comunicare con gli stakeholder riduce la pressione a pagare solo per far sparire rapidamente il problema.

Cosa significa per te

Che tu gestisca l'IT per una piccola impresa o semplicemente i tuoi dispositivi personali, il messaggio di questi dati è lo stesso: non dare per scontato che il pagamento sia una rete di sicurezza. Se la tua organizzazione dovesse mai trovarsi di fronte a una richiesta di riscatto, considera l'incidente come un segnale che esistono lacune di sicurezza, non come una negoziazione da risolvere e dimenticare. Le organizzazioni meglio posizionate per riprendersi rapidamente ed evitare di diventare vittime ripetute sono quelle che hanno investito in backup, monitoraggio della rete e controlli di accesso prima che si verificasse un attacco, invece di affannarsi a reagire a posteriori.

Punti chiave

  • Nuovi dati mostrano che i pagamenti per ransomware e gli attacchi ripetuti vanno spesso di pari passo, smentendo l'ipotesi che pagare risolva la minaccia.
  • Le azioni delle forze dell'ordine contro specifiche gang non eliminano l'ecosistema più ampio di vulnerabilità che ha portato all'attacco originale.
  • Backup offline, segmentazione della rete e accesso remoto rafforzato sono difese più affidabili di qualsiasi negoziazione di pagamento.
  • Le organizzazioni dovrebbero costruire ora piani di risposta agli incidenti, invece di decidere come reagire durante un attacco in corso.

Il ransomware non scomparirà, ma la decisione di pagare non dovrebbe essere considerata una soluzione rapida. Dare priorità alla prevenzione, a backup resilienti e a un accesso remoto sicuro rimane il modo più efficace per tenere i propri dati e la propria organizzazione fuori dal mirino degli aggressori.