Le aziende continuano a pagare i riscatti, come mostrano i nuovi dati

Nonostante anni di indicazioni che invitano le organizzazioni a rifiutare le richieste di riscatto, molte aziende continuano a staccare assegni ai criminali informatici. Un nuovo studio della società di sicurezza Proofpoint ha rilevato che quasi un quarto (22%) delle aziende che hanno pagato un riscatto è stato colpito nuovamente con una seconda richiesta di estorsione, un dato che solleva seri interrogativi sul fatto che pagare risolva effettivamente qualcosa.

La ricerca arriva in un momento in cui le autorità spingono più che mai affinché le organizzazioni mantengano la linea contro gli aggressori. Il National Cyber Security Centre (NCSC) del Regno Unito ha da tempo sconsigliato di pagare i riscatti, avvertendo che ciò incoraggia ulteriori attacchi e non offre alcuna garanzia che i dati rubati o crittografati vengano effettivamente restituiti. Eppure, i risultati di Proofpoint suggeriscono che i consigli ufficiali e le decisioni aziendali concrete sono spesso due cose molto diverse.

Perché le aziende pagano comunque

Gli attacchi ransomware mettono le aziende in una posizione non invidiabile. Quando i sistemi vengono bloccati o dati sensibili sono minacciati di esposizione pubblica, i dirigenti sono spesso costretti a soppesare i danni reputazionali, l'esposizione normativa e i tempi di inattività operativa rispetto al costo del pagamento del riscatto. Per molte organizzazioni, pagare può sembrare la via più rapida per tornare alla normalità, anche quando gli esperti di sicurezza avvertono che raramente le cose si risolvono in modo così netto.

Questo calcolo diventa ancora più delicato se si considera come il business stesso del ransomware si sia professionalizzato. La negoziazione è diventata quasi un settore a sé stante, con aziende incaricate specificamente di comunicare con gli aggressori e cercare di ridurre le richieste. Ma questo settore non è stato privo di controversie. In un caso degno di nota, un negoziatore professionista è stato condannato a 70 mesi di carcere per il suo ruolo in un accordo sul ransomware BlackCat, un duro promemoria del fatto che le persone che mediano questi pagamenti non sempre operano nell'interesse dell'azienda. Un caso correlato che coinvolge lo stesso negoziatore, identificato come Martino nei registri del tribunale, sottolinea ulteriormente quanto possa diventare torbido e legalmente rischioso l'ecosistema dei pagamenti di riscatto una volta coinvolto un intermediario.

Il costo in termini di privacy del pagamento

La statistica del 22% di estorsioni ripetute è significativa perché contraddice la giustificazione principale che la maggior parte delle aziende adduce per pagare: che il problema venga risolto. Se quasi un quarto delle vittime viene preso di mira nuovamente dopo aver pagato, il pagamento non sta comprando sicurezza. Potrebbe semplicemente confermare agli aggressori che l'organizzazione è disposta e in grado di pagare, rendendola un bersaglio più appetibile per attacchi futuri.

In queste discussioni c'è anche una dimensione della privacy che spesso viene trascurata. Gli attacchi ransomware comportano frequentemente il furto di dati sensibili, record dei clienti, informazioni sui dipendenti, dettagli finanziari, molto prima che avvenga qualsiasi crittografia. Pagare un riscatto non annulla questa esposizione. Gli aggressori potrebbero aver già copiato i dati, e un pagamento non offre alcuna garanzia verificabile che verranno cancellati anziché venduti o diffusi in seguito. Per le persone i cui dati si trovano all'interno dei sistemi di un'azienda violata, la negoziazione del riscatto che avviene a porte chiuse ha poca influenza sul fatto che le loro informazioni rimangano private.

Cosa significa per te

Se sei un consumatore, questi dati ti ricordano che la decisione di un'azienda di pagare un riscatto non protegge necessariamente le tue informazioni personali. Vale la pena prendere sul serio le notifiche di violazione e le offerte di monitoraggio del credito a seguito di un incidente ransomware, indipendentemente dal fatto che l'azienda interessata dichiari di aver risolto la situazione con gli aggressori.

Se lavori nell'IT, nella sicurezza o nella leadership esecutiva, i risultati di Proofpoint dovrebbero influenzare direttamente la pianificazione della risposta agli incidenti. Il pagamento non dovrebbe mai essere considerato una soluzione rapida. Le organizzazioni che hanno pagato una volta sembrano rimanere bersagli allettanti, il che significa che i piani di ripristino devono includere un rafforzamento post-incidente più deciso, non solo un bonifico bancario e un sospiro di sollievo.

Misure da adottare

Alcuni passi concreti possono contribuire a ridurre sia la probabilità di un attacco sia le conseguenze qualora si verifichi:

  • Mantenere backup offline e testati, in modo che le richieste di crittografia perdano la loro leva.
  • Trattare qualsiasi incidente ransomware come una violazione dei dati per impostazione predefinita, poiché gli aggressori spesso sottraggono i dati prima di crittografarli.
  • Consultare tempestivamente le forze dell'ordine e agenzie come l'NCSC, anziché passare subito al pagamento o alla negoziazione.
  • Se si coinvolge un negoziatore, verificarlo attentamente dati i rischi legali messi in luce da recenti procedimenti penali.
  • Comunicare in modo trasparente con i clienti o i dipendenti interessati, indipendentemente dal pagamento del riscatto.

Il ransomware non scomparirà e la tentazione di pagare per una risoluzione rapida rimarrà forte. Ma questi nuovi dati rafforzano ciò che le autorità di regolamentazione sostengono da anni: pagare un riscatto raramente è la fine della storia, e potrebbe essere solo l'inizio di una seconda.