Cosa mostrano realmente i dati di Proofpoint sul ransomware in India

Un nuovo report della società di sicurezza Proofpoint dipinge un quadro preoccupante per le organizzazioni indiane che affrontano il ransomware. I dati mostrano che il 62% delle aziende indiane colpite ha segnalato un impatto complessivo superiore a seguito dell'attacco più recente, un segnale che questi incidenti stanno diventando più dannosi, non di meno, anche mentre aumentano la consapevolezza e la spesa per la difesa. Particolarmente degna di nota è la conferma che l'estorsione tramite furto di dati nei ransomware in India è diventata la norma, non l'eccezione: il furto di dati è stato confermato nel 71% degli incidenti esaminati da Proofpoint.

Questa statistica ridefinisce ciò che molte organizzazioni considerano ancora un problema di ransomware. Non si tratta più solo di file cifrati e di una richiesta di riscatto. Nella stragrande maggioranza dei casi studiati, gli aggressori avevano già esfiltrato dati sensibili prima di bloccare i sistemi, ottenendo un ulteriore strumento di pressione anche se i backup della vittima sono sufficientemente solidi da evitare di pagare per una chiave di decrittazione.

Perché pagare il riscatto non ferma le estorsioni ripetute

Nonostante le diffuse indicazioni delle forze dell'ordine e dei professionisti della sicurezza di non pagare le richieste di riscatto, il 64% delle organizzazioni indiane colpite ha comunque pagato. L'istinto è comprensibile: un pagamento sembra la via più rapida per tornare alla normale operatività. Ma i risultati di Proofpoint suggeriscono che quell'istinto è sempre più fuori luogo. Quasi la metà di coloro che hanno pagato, il 48%, ha dovuto affrontare ulteriori richieste di estorsione in seguito.

Questa dinamica non è esclusiva dell'India. Rispecchia quanto Proofpoint ha documentato a livello globale, dove coloro che pagano il ransomware vengono spesso colpiti di nuovo e un pagamento funziona meno come una soluzione e più come un segnale per gli aggressori che un bersaglio è disposto a negoziare. Una ricerca separata di Proofpoint ha rilevato che il 22% di chi paga il riscatto subisce estorsioni ripetute, mentre altri dati indicano che circa 1 pagatore su 3 di ransomware viene colpito di nuovo. La percentuale del 48% di estorsioni ripetute in India si colloca all'estremità più alta di questo intervallo, suggerendo che le organizzazioni locali potrebbero trovarsi ad affrontare una versione ancora più accentuata dello stesso trend globale.

Il tasso del 71% di furto di dati: cosa sottraggono gli aggressori prima di cifrare

Il motivo per cui l'estorsione ripetuta funziona così bene per gli aggressori è semplice: una volta rubati i dati, la cifratura passa quasi in secondo piano. Se il 71% degli incidenti comporta già un furto di dati confermato, allora pagare per una chiave di decrittazione non fa nulla per neutralizzare la copia di file sensibili presente sull'infrastruttura dell'aggressore. Quei dati possono essere venduti, diffusi o utilizzati come nuova leva per una seconda o terza richiesta, il che aiuta a spiegare perché così tante organizzazioni che hanno pagato una volta si siano ritrovate a pagare di nuovo o ad affrontare nuove minacce anche dopo aver saldato la prima.

Questo è il cambiamento fondamentale che separa il ransomware moderno dagli attacchi di blocco file del passato. La cifratura interrompe le operazioni nel breve termine, ma il furto di dati crea una responsabilità a lungo termine che un singolo pagamento non può risolvere. Per le organizzazioni che gestiscono dati dei clienti, informazioni finanziarie o dati aziendali proprietari, l'esposizione non termina quando i sistemi tornano online.

Ridurre l'esposizione: segmentazione di rete, backup e controlli degli accessi

La risposta pratica a questo cambiamento deve andare oltre la semplice decisione se pagare o meno. Alcuni passi concreti contano più che mai:

  • Segmentazione della rete limita la capacità di movimento di un aggressore una volta entrato, riducendo la possibilità che un singolo account compromesso porti a un'esposizione dei dati su scala aziendale.
  • Backup offline e testati restano essenziali per il ripristino dalla cifratura, ma non affrontano il furto di dati, quindi devono essere abbinati al monitoraggio di trasferimenti anomali di dati in uscita.
  • Controlli degli accessi rigorosi e permessi con privilegio minimo riducono il volume di dati sensibili raggiungibili da una singola credenziale compromessa.
  • Pianificazione della risposta agli incidenti dovrebbe presupporre che i dati siano già stati copiati, non solo che i sistemi possano essere bloccati, e dovrebbe includere un piano di comunicazione per clienti e autorità nel caso in cui l'esposizione dei dati venga confermata.

Le organizzazioni che costruiscono le proprie difese attorno a questi principi partono dal presupposto che la sola prevenzione non sempre avrà successo, e che limitare il raggio di azione di un'intrusione sia importante quanto tenere fuori gli aggressori in primo luogo.

Cosa significa per te

Se la tua organizzazione opera in India o gestisce dati legati a clienti o partner indiani, questo report è un segnale per rivedere i piani di risposta agli incidenti con una domanda specifica in mente: cosa succede dopo aver scoperto che i dati sono già stati rubati, e non solo dopo che i file sono stati cifrati? Trattare il ransomware puramente come un problema di disponibilità, risolvibile attraverso backup e un eventuale pagamento, non corrisponde più a come questi attacchi si svolgono realmente. Lo schema di estorsione tramite furto di dati nei ransomware in India descritto nei dati di Proofpoint mostra che il momento della cifratura è spesso solo una fase di una campagna più lunga.

Punti chiave

  • Dare per scontato che in ogni incidente ransomware si sia verificato un furto di dati; non aspettare la conferma prima di agire sulla base di tale presupposto.
  • Considerare il pagamento del riscatto come una decisione aziendale con un rischio reale di estorsione ripetuta, non come una soluzione garantita, uno schema coerente con quanto documentato da altre ricerche di Proofpoint sulle estorsioni ripetute in diversi mercati.
  • Investire ora in segmentazione e controlli degli accessi, poiché limitano i danni indipendentemente da come un aggressore riesca a entrare.
  • Costruire un piano di comunicazione per la violazione dei dati insieme al piano di ripristino da ransomware, dato che i due eventi sono sempre più la stessa cosa.

Come continuano a mostrare dati più ampi del settore sui pagamenti ransomware, l'esperienza indiana non è un'anomalia. È un riflesso locale di uno spostamento globale verso l'estorsione a più fasi, e le organizzazioni che si prepareranno fin da ora saranno in una posizione molto migliore rispetto a quelle che sperano ancora che un unico pagamento faccia scomparire il problema.