Perché 1 pagamento ransomware su 5 finisce ancora in tradimento

Le aziende neozelandesi che valutano se pagare un riscatto ransomware hanno appena ricevuto un dato che fa riflettere. Secondo un report su quali aziende neozelandesi sono più prese di mira dagli hacker del ransomware, l'80% delle vittime che hanno pagato ha ricevuto una chiave di decrittazione funzionante e non ha visto i propri dati rubati diffusi come promesso. Questo suona rassicurante, finché non si ribalta il numero: in un caso su cinque, le vittime hanno pagato e non hanno ottenuto nulla. Nessuna chiave, nessun file cancellato, nessun accordo rispettato.

Questo è il nocciolo scomodo dei rischi legati al pagamento dei riscatti ransomware. L'intero modello estorsivo si basa sulla convinzione delle vittime che i criminali manterranno la parola data, perché una reputazione di affidabilità spinge le future vittime a pagare. Ma la reputazione tra gruppi criminali non è un contratto legale, e il report chiarisce che alcuni operatori prendono semplicemente i soldi e se ne vanno, o peggio, tornano a chiederne altri.

Come i gruppi ransomware prendono di mira e ricattano nuovamente le vittime

Uno dei dettagli più inquietanti del report riguarda un gruppo chiamato SpaceBears, che secondo quanto riferito avrebbe ricattato più volte vittime che avevano già pagato un riscatto. Invece di considerare il pagamento come la fine dell'incidente, queste vittime si sono ritrovate al punto di partenza, con una seconda richiesta per gli stessi dati rubati. Questa tattica mina la premessa di base secondo cui pagare risolve il problema. Se un gruppo criminale possiede i tuoi dati, un singolo pagamento non garantisce che scompaiano dalla sua disponibilità o da quella di chiunque altro a cui li venda in seguito.

I gruppi ransomware tendono a concentrarsi su organizzazioni che ritengono più propense a pagare rapidamente, spesso perché il costo del tempo di inattività o del danno reputazionale supera il riscatto stesso. I costi di ripristino dopo un attacco sono costantemente elevati e coprono indagini forensi, ricostruzione dei sistemi, consulenza legale e potenziali obblighi di segnalazione normativa. È proprio su questa pressione finanziaria che gli attaccanti contano quando fissano il prezzo e la scadenza.

Ridurre l'esposizione: basi di protezione dei dati e igiene di sicurezza

Considerato che anche un pagamento andato a buon fine ha circa il 20% di probabilità di fallire e che alcuni gruppi possono sfruttare le vittime due volte, la strategia più solida è ridurre le probabilità di un attacco riuscito in primo luogo. Questo inizia con un'igiene di sicurezza di base, spesso trascurata: backup regolari offline o immutabili, che il ransomware non può raggiungere, applicazione tempestiva di patch per vulnerabilità note, autenticazione a più fattori su tutti i punti di accesso remoto e segmentazione della rete, in modo che un singolo account compromesso non possa innescare un evento di crittografia su vasta scala.

La minimizzazione dei dati è importante quanto le difese tecniche. Le organizzazioni che archiviano meno dati sensibili, li conservano per periodi più brevi e crittografano quelli che mantengono riducono la leva in mano agli attaccanti anche in caso di violazione. È qui che la comprensione della giurisdizione VPN diventa rilevante per aziende e individui che gestiscono traffico sensibile. Il paese in cui ha sede legale un fornitore di servizi determina quali dati può essere obbligato a consegnare e quali ricorsi legali hanno le vittime in caso di problemi. Scegliere strumenti e fornitori con una posizione giurisdizionale chiara e favorevole fa parte di una postura difensiva più ampia, non è una preoccupazione separata dalla prevenzione del ransomware.

Anche le discussioni più ampie sulla politica digitale in Nuova Zelanda si intersecano con questo problema. Come mostrano le discussioni sui piani di verifica dell'età in Nuova Zelanda, il paese sta attivamente dibattendo quanti dati personali le piattaforme e le autorità di regolamentazione dovrebbero raccogliere e conservare. Ogni nuovo archivio di informazioni personali è un potenziale bersaglio per il ransomware, il che rende la minimizzazione dei dati una questione di politica pubblica oltre che aziendale.

Cosa significa per aziende e utenti comuni

Per le aziende neozelandesi, il punto non è che pagare un riscatto sia sempre inutile. La cifra dell'80% mostra che gli attaccanti spesso mantengono la parola. Ma trattare il pagamento come una polizza assicurativa affidabile è un errore che i dati non supportano. Un tasso di fallimento di uno su cinque, insieme a casi documentati di estorsione ripetuta, significa che il pagamento dovrebbe essere l'ultima spiaggia, valutato considerando fattori legali, finanziari e reputazionali, non una risposta predefinita inserita in un piano di risposta agli incidenti.

Per gli utenti comuni, la lezione è simile su scala ridotta. Backup personali, password uniche e una gestione cauta di allegati e link alle email restano le difese più economiche ed efficaci contro il ransomware che alla fine raggiunge i singoli individui attraverso campagne di phishing. Il ripristino a posteriori, che si tratti di una grande azienda o di un utente domestico, è costoso e incerto rispetto alla prevenzione.

Punti chiave

  • Circa il 20% delle vittime di ransomware che pagano non riceve nulla in cambio, nonostante le promesse di chiavi di decrittazione e cancellazione dei dati.
  • Alcuni gruppi ransomware, tra cui SpaceBears, hanno ricattato nuovamente vittime che avevano già pagato una volta.
  • Backup offline affidabili e forti controlli di accesso riducono completamente la dipendenza dal pagamento di riscatti.
  • La minimizzazione dei dati e la consapevolezza della giurisdizione dei fornitori riducono la leva che gli attaccanti possono esercitare su di te.
  • I rischi legati al pagamento del riscatto ransomware dovrebbero entrare a far parte della pianificazione della risposta agli incidenti di ogni organizzazione, non solo il costo immediato della richiesta.

Comprendere i rischi del pagamento del riscatto ransomware significa in definitiva riconoscere che la prevenzione, la disciplina dei backup e una gestione attenta dei dati offrono più certezze che fidarsi di un'impresa criminale perché rispetti la sua parte di un accordo estorsivo.