Cosa ha scoperto lo studio di Proofpoint sugli attacchi ripetuti

Un nuovo studio dell'azienda di cybersecurity Proofpoint offre un severo richiamo alla realtà per le organizzazioni che considerano il pagamento del riscatto come una soluzione rapida. Secondo la ricerca, oltre un terzo delle aziende che hanno pagato un riscatto sono state in seguito prese di mira da un tentativo di estorsione secondaria. In altre parole, firmare l'assegno non chiude il capitolo di un incidente; per una quota significativa delle vittime, ne apre semplicemente uno nuovo.

Questa scoperta è importante perché mette in discussione un'ipotesi comune nelle sale riunioni durante una crisi: che pagare gli attaccanti sia il modo più veloce per far sparire il problema. I dati di Proofpoint suggeriscono il contrario. Una volta che un'azienda dimostra di essere disposta a pagare, può diventare un bersaglio ricorrente, sia per lo stesso attaccante che per un gruppo diverso che ha saputo che l'organizzazione è un bersaglio facile.

Perché pagare il riscatto non garantisce la sicurezza dei dati

Il problema centrale evidenziato da Proofpoint è che le trattative per il riscatto si basano sulla fiducia verso criminali che non hanno alcun obbligo vincolante di rispettare la loro parte dell'accordo. Pagare per sbloccare i file crittografati non garantisce che i dati rubati non siano già stati copiati altrove, né impedisce agli attaccanti di rivendere credenziali di accesso, mappe di rete o file esfiltrati ad altri gruppi criminali.

Questo è il meccanismo alla base del ciclo di estorsione ripetuta descritto dallo studio. Le moderne operazioni ransomware si basano sempre più spesso sulla doppia estorsione, crittografando i sistemi e rubando anche dati sensibili prima di chiedere il pagamento. Anche se una chiave di decrittazione viene consegnata come promesso, i dati rubati restano un elemento di rischio. Possono essere utilizzati per un secondo tentativo di estorsione, venduti nei marketplace criminali o sfruttati da un attore della minaccia completamente diverso che acquista l'accesso dall'attaccante originale. Il pagamento risolve il blocco operativo immediato, ma non fa nulla per affrontare l'esposizione sottostante dei dati dell'organizzazione.

La minaccia crescente per le piccole e medie imprese

Sebbene le grandi aziende abbiano storicamente dominato i titoli dei giornali sul ransomware, le imprese di dimensioni più ridotte e medie sono sempre più nel mirino, spesso perché hanno meno risorse da investire in rilevamento, risposta e ripristino. Queste organizzazioni possono essere particolarmente vulnerabili al modello di estorsione ripetuta descritto da Proofpoint, poiché un singolo pagamento riuscito può segnalarle come disponibili e capaci di pagare nuovamente.

Questa dinamica è già in atto con le operazioni di ransomware-as-a-service che prendono di mira specificamente le organizzazioni più piccole. Come descritto in dettaglio nella copertura del fenomeno Qilin e le gang ransomware The Gentlemen che intensificano gli attacchi alle PMI, questi gruppi competono per il predominio concentrandosi su aziende che potrebbero non avere l'esperienza nella negoziazione, la consulenza legale o l'infrastruttura di risposta agli incidenti di cui dispongono le aziende più grandi. Quando un'azienda più piccola paga una volta, potrebbe non avere le risorse per cambiare radicalmente la propria postura di sicurezza in seguito, lasciando le stesse vulnerabilità aperte per il tentativo successivo.

Ridurre il rischio: backup, crittografia e pianificazione degli incidenti

I risultati di Proofpoint rafforzano un messaggio che i professionisti della sicurezza ripetono da anni: prevenzione e preparazione contano più della negoziazione. Alcuni passi pratici possono ridurre in modo significativo sia la probabilità di un attacco che i danni nel caso in cui si verifichi.

Innanzitutto, mantenere backup offline o immutabili che vengano testati regolarmente. Il pagamento del riscatto diventa spesso l'unica opzione quando i backup mancano, sono obsoleti o vengono essi stessi crittografati durante l'attacco. In secondo luogo, crittografare i dati sensibili a riposo e in transito in modo che, anche se gli attaccanti esfiltrano i file, i dati rubati abbiano un valore limitato. In terzo luogo, predisporre un piano di risposta agli incidenti prima che si verifichi un attacco, non durante. Questo piano dovrebbe includere ruoli chiari, protocolli di comunicazione e contatti legali e forensi pre-verificati, in modo che le decisioni non vengano prese sotto panico e pressione temporale.

Le organizzazioni dovrebbero anche presumere che qualsiasi dato toccato da un'intrusione possa alla fine emergere pubblicamente o essere rivenduto, indipendentemente dal fatto che venga pagato un riscatto. Pianificare questa eventualità, attraverso procedure di notifica ai clienti, offerte di monitoraggio del credito e revisione legale, è molto più affidabile che sperare che un gruppo criminale cancelli i file rubati dopo il pagamento.

Cosa significa per te

Se la tua organizzazione dovesse mai trovarsi di fronte a una richiesta di riscatto, la ricerca di Proofpoint suggerisce che la decisione di pagare non deve essere considerata una risoluzione garantita. Il rischio di estorsione ripetuta dopo il pagamento del ransomware è reale e documentato: pagare può contrassegnarti come bersaglio anziché chiudere l'incidente. Che tu gestisca una piccola impresa o la sicurezza di un'azienda più grande, l'ipotesi più sicura è che qualsiasi evento ransomware potrebbe non essere un evento isolato, a meno che non si affrontino le cause alla radice che hanno permesso l'intrusione in primo luogo.

Punti chiave

  • Non dare per scontato che il pagamento ponga fine alla minaccia. Proofpoint ha rilevato che oltre un terzo delle vittime paganti subisce un secondo tentativo di estorsione.
  • Dare priorità a backup immutabili e testati, in modo che il pagamento non sia mai l'unica strada per il ripristino.
  • Crittografare i dati sensibili per limitare i danni dell'esfiltrazione anche se i sistemi sono compromessi.
  • Costruire e provare un piano di risposta agli incidenti prima di un attacco, non durante.
  • Riconoscere che le piccole imprese sono sempre più prese di mira da gruppi come Qilin e The Gentlemen, rendendo la difesa proattiva essenziale indipendentemente dalle dimensioni dell'azienda.