Le vittime di ransomware che pagano sperando di far sparire il problema restano spesso deluse. Uno studio globale appena pubblicato, l'AI-Era Ransomware Report, ha intervistato quasi 1.000 professionisti della sicurezza in 12 mercati e ha scoperto che pagare un riscatto è tutt'altro che una soluzione garantita. I risultati danno nuovo peso a un avvertimento che i ricercatori di sicurezza ripetono da anni: i pagamenti ripetuti per estorsioni ransomware sono un rischio reale e in crescita, non un caso limite raro.

Cosa ha rilevato l'AI-Era Ransomware Report

Il sondaggio dipinge un quadro allarmante di come le organizzazioni reagiscono quando il ransomware colpisce. Oltre la metà delle organizzazioni che hanno subito un attacco, il 54%, ha finito per pagare un riscatto nel tentativo di ripristinare i propri dati sensibili. Di coloro che hanno pagato, il 56% ha riottenuto l'accesso ai propri file o sistemi. Ma il dato più preoccupante è quello che è successo dopo: più di un terzo delle vittime, il 37%, ha ricevuto una seconda richiesta di estorsione dopo aver già pagato la prima.

Questa statistica da sola dovrebbe cambiare il modo in cui le organizzazioni pensano alla risposta al ransomware. Pagare non è una transazione una tantum che chiude l'incidente. Per più di un terzo delle vittime in questo studio, è stato semplicemente la mossa di apertura di un ciclo più lungo e costoso.

Perché Pagare Non Garantisce Sicurezza o Recupero dei Dati

Vale la pena riflettere su questi numeri. Anche tra le organizzazioni che hanno pagato, quasi la metà non ha comunque recuperato completamente i propri dati. E una larga parte di coloro che hanno riavuto i propri file è stata poi presa di nuovo di mira, sia dallo stesso attaccante che chiedeva più soldi, sia da un gruppo diverso che ha visto il pagamento come prova che la vittima era disposta a negoziare.

Questo schema è in linea con altre ricerche recenti. Un sondaggio di Proofpoint riportato da vpn.social ha rilevato in modo simile che pagare i gruppi ransomware spesso si ritorce contro, con una parte significativa delle vittime che pagano che affronta rinnovati tentativi di estorsione. Una volta che un'organizzazione paga, può finire su una lista di paganti confermati, informazioni che circolano tra i gruppi criminali e rendono quell'organizzazione un bersaglio più attraente per attacchi futuri, non meno attraente.

Non esiste inoltre alcun contratto esecutivo in una negoziazione ransomware. Gli attaccanti non hanno alcun incentivo legale o di reputazione a onorare la loro parte dell'accordo una volta che il denaro è stato trasferito. Le chiavi di decrittazione possono essere incomplete, piene di bug o semplicemente mai consegnate. I dati rubati e usati come leva possono comunque essere venduti, divulgati o trattenuti per un secondo giro di estorsione, indipendentemente da ciò che è stato promesso.

Le Alternative di Prevenzione: Backup, Crittografia e Segmentazione della Rete

Date queste probabilità, la strategia più resiliente è ridurre la possibilità di dover decidere se pagare in primo luogo. Alcune pratiche emergono costantemente come difese efficaci:

  • Mantenere backup offline e testati. Backup scollegati dalla rete principale e regolarmente testati per il ripristino significano che un'organizzazione può recuperare senza negoziare affatto con un attaccante.
  • Crittografare i dati sensibili a riposo e in transito. Anche se gli attaccanti esfiltrano i file, una crittografia forte limita ciò che possono effettivamente usare o vendere, riducendo la leva dietro una minaccia di fuga di dati.
  • Segmentare le reti. Dividere i sistemi in zone isolate limita quanto lontano il ransomware può diffondersi una volta ottenuto un primo punto d'appoggio, contenendo il danno a una fetta più piccola dell'organizzazione.
  • Applicare patch e monitorare costantemente. Molte intrusioni ransomware sfruttano ancora vulnerabilità note non patchate o credenziali deboli di accesso remoto, quindi un'igiene di base chiude una gran parte dei punti di ingresso.

Nessuna di queste misure rende un'organizzazione immune agli attacchi, ma insieme riducono sia la probabilità di una violazione riuscita sia la pressione a pagare se una si verifica.

Costruire un Piano di Risposta agli Incidenti Prima che un Attacco Colpisca

Le organizzazioni che se la cavano meglio dopo un incidente ransomware tendono a essere quelle che avevano già provato la loro risposta prima che l'attacco accadesse. Ciò significa avere un piano documentato che chiarisce chi prende la decisione se pagare, quali contatti legali e delle forze dell'ordine vengono avvisati, come vengono gestite le comunicazioni con dipendenti e clienti e come i sistemi vengono isolati e ripristinati.

Eseguire esercitazioni simulate, in cui il personale affronta uno scenario di attacco simulato, aiuta a far emergere le lacune nel piano mentre non c'è pressione reale. Accelera anche la risposta effettiva quando un incidente si verifica, riducendo la finestra di esposizione e diminuendo la tentazione di pagare semplicemente perché nessun'altra opzione sembra pronta.

Cosa Significa Questo per Te

Per i leader IT e i team di sicurezza, questo rapporto è un promemoria che i pagamenti ripetuti per estorsioni ransomware sono abbastanza comuni da essere inclusi nella pianificazione, non un caso eccezionale del peggiore scenario. Tratta il pagamento di un riscatto come un'ultima risorsa con una reale possibilità di fallimento, non come una polizza assicurativa affidabile. Budget per la prevenzione (backup, segmentazione, monitoraggio) nello stesso modo in cui faresti per qualsiasi altro costo infrastrutturale di base, perché i numeri suggeriscono che sia più economico a lungo termine rispetto a negoziazioni ripetute con gli attaccanti.

Per singoli utenti e organizzazioni più piccole senza un team di sicurezza dedicato, gli stessi principi si riducono: mantieni una copia offline di tutto ciò che è insostituibile, usa la crittografia dove disponibile e sappi in anticipo chi chiameresti se i tuoi sistemi venissero mai bloccati.

Punti Chiave

  • Il 54% delle organizzazioni intervistate che hanno subito un attacco ransomware ha pagato il riscatto, ma solo il 56% di chi ha pagato ha riottenuto pienamente l'accesso ai propri dati.
  • Il 37% delle organizzazioni che hanno pagato è stato colpito da una seconda richiesta di estorsione, dimostrando che pagare non elimina il rischio.
  • Backup offline, crittografia e segmentazione della rete riducono sia le probabilità di un attacco riuscito sia la pressione a pagare.
  • Un piano di risposta agli incidenti testato, costruito prima che un attacco accada, abbrevia i tempi di recupero e riduce la dipendenza dai pagamenti di riscatto.
  • I lettori possono consultare i risultati del sondaggio Proofpoint per ulteriori dati di conferma su quanto spesso i pagamenti di riscatto non riescano a risolvere un attacco.