Un panorama ransomware che non smette di frammentarsi

Un nuovo attore della minaccia ransomware emerge ogni singola settimana, secondo una nuova analisi della società di cybersicurezza Black Kite, riportata da Infosecurity Magazine. La ricerca dipinge un quadro di un'economia dell'estorsione che non sta solo crescendo, ma si sta frammentando, con nuovi gruppi che si formano più velocemente di quanto i difensori possano tracciarli.

Per anni, la copertura del ransomware si è concentrata su una manciata di nomi dominanti, marchi che sono diventati quasi termini familiari negli ambienti della sicurezza. I risultati di Black Kite suggeriscono che quel modello sta svanendo. Invece di poche, grandi e riconoscibili operazioni, il panorama ora assomiglia di più a uno sciame in costante mutamento di gruppi più piccoli, fazioni scissioniste e rebranding. Ogni nuovo attore porta con sé i propri strumenti, tattiche di negoziazione e liste di obiettivi, rendendo la minaccia complessiva più difficile da prevedere e da contrastare con blocklist statiche o intelligence sulle minacce di un singolo fornitore.

Perché la frammentazione è importante per la privacy quotidiana

È forte la tentazione di archiviare le notizie sul ransomware sotto "problema aziendale" e voltare pagina, ma le implicazioni per la privacy vanno ben oltre le organizzazioni che vengono bloccate fuori dai propri sistemi. Le moderne operazioni ransomware raramente si fermano alla cifratura. Molte ora rubano prima i dati e minacciano di pubblicarli o venderli, il che significa che registri dei clienti, file dei dipendenti, storie cliniche e dettagli finanziari possono finire in circolazione indipendentemente dal pagamento del riscatto.

Un ecosistema frammentato moltiplica questo rischio in alcuni modi specifici. Primo, più gruppi significano più punti di ingresso e più sperimentazione su quali settori e tipi di dati siano più redditizi da colpire. Secondo, gli attori più nuovi e piccoli hanno spesso meno da perdere in termini reputazionali, il che può renderli più disposti a divulgare i dati rubati come leva. Terzo, i difensori che si affidano al riconoscimento dei "marchi" ransomware noti perdono un vantaggio quando i marchi stessi sono usa e getta e costantemente sostituiti.

Il risultato finale è che le persone comuni, le cui informazioni personali risiedono in innumerevoli database aziendali e istituzionali, affrontano un insieme in costante espansione di attori che potrebbero finire per detenere i loro dati. Non è necessario essere un bersaglio diretto di un attacco per esserne colpiti.

Il problema delle patch dietro l'impennata

Uno dei motivi per cui i nuovi attori ransomware possono formarsi così rapidamente è che la superficie d'attacco sottostante continua ad espandersi. Le vulnerabilità software non corrette rimangono una delle porte più comuni attraverso cui i gruppi ransomware passano, sia che abbiano costruito l'exploit autonomamente, sia che abbiano acquistato l'accesso da un broker di accesso iniziale. La portata di questa sfida è stata pienamente mostrata di recente quando Microsoft ha corretto un numero record di 570 bug in un singolo aggiornamento, incluse due zero-day già sfruttate attivamente. Ogni sistema privo di patch che resta indietro rispetto a quel tipo di ciclo di aggiornamento è un potenziale punto d'appoggio per il prossimo gruppo ransomware che vorrà reclamarlo.

Questo è in parte il motivo per cui l'avvertimento di Black Kite conta al di là del numero principale. Un ecosistema ransomware frammentato e in rapido movimento prospera proprio perché la gestione delle patch, l'igiene delle credenziali e la segmentazione della rete sono in ritardo in così tante organizzazioni. I nuovi attori non hanno bisogno di tecniche innovative quando le vulnerabilità note e non corrette continuano a funzionare.

Cosa significa per te

La maggior parte dei lettori non tratterà direttamente con una gang ransomware, ma gli effetti a catena sono reali. Se un servizio che utilizzi, un fornitore di assistenza sanitaria, un datore di lavoro o un rivenditore online viene colpito, i tuoi dati personali potrebbero essere travolti da una fuga di dati, indipendentemente dalle tue abitudini di sicurezza. Un panorama ransomware con un ricambio costante di nuovi attori significa anche che le notifiche di violazione potrebbero fare riferimento più spesso a nomi di gruppi sconosciuti, il che può rendere più difficile valutare quanto sia effettivamente grave un determinato incidente.

La risposta pratica è la stessa, indipendentemente da quale gruppo specifico sia dietro un attacco: presumi che i tuoi dati possano essere esposti a un certo punto e prendi provvedimenti che riducano il danno quando accade.

Consigli pratici

  • Usa password uniche e robuste per ogni account, in modo che una violazione in un'azienda non si propaghi ad altre.
  • Attiva l'autenticazione a più fattori ovunque sia offerta, specialmente per email, servizi bancari e portali sanitari.
  • Mantieni aggiornati tempestivamente sistemi operativi e applicazioni; il software privo di patch rimane un punto d'ingresso primario per il ransomware.
  • Monitora account e rapporti di credito per attività insolite, in particolare dopo che un'organizzazione che utilizzi comunica un incidente.
  • Sii scettico riguardo a email o messaggi inaspettati che fanno riferimento a problemi con l'account, poiché le campagne ransomware spesso iniziano con il phishing.

L'avvertimento di Black Kite che un nuovo attore della minaccia ransomware emerge ogni settimana è un promemoria che questo non è un problema con un traguardo finale. Mentre l'ecosistema ransomware continua a frammentarsi, rimanere informati e mantenere un'igiene di sicurezza di base rimangono le difese più affidabili a disposizione di individui e organizzazioni.