Perché pagare un riscatto non risolve il problema
Quando un ransomware blocca i sistemi di un’azienda, l’istinto di pagare e voltare pagina è comprensibile. Un nuovo sondaggio dell’azienda di sicurezza Proofpoint, che ha coinvolto 953 aziende, suggerisce che quell’istinto può ritorcersi contro. Secondo i risultati, le organizzazioni che pagano un riscatto diventano spesso bersagli più appetibili, non meno. Una volta che un gruppo criminale ha la conferma che una vittima è disposta a pagare, quella stessa vittima può essere presa di mira per un attacco successivo.
Questo è importante perché la logica dietro il pagamento dei riscatti si è sempre basata su un semplice scambio: denaro in cambio della chiusura della vicenda. I dirigenti approvano i pagamenti credendo che ciò ripristini i sistemi, faccia cancellare i dati rubati, limiti l’interruzione dell’attività e protegga i clienti. La ricerca di Proofpoint indica che questo scambio è molto meno affidabile di quanto la maggior parte delle organizzazioni pensi. Pagare non pone necessariamente fine al rapporto con l’aggressore; in alcuni casi, ne inizia uno nuovo.
La logica economica di una seconda richiesta
I gruppi ransomware operano come aziende, e le aziende cercano clienti abituali. Un’azienda che ha già dimostrato di voler pagare è, dal punto di vista criminale, una fonte di guadagno comprovata. Dispone di capitale circolante, di un team dirigenziale disposto ad autorizzare rapidamente il pagamento e, presumibilmente, presenta ancora le vulnerabilità che hanno permesso il primo attacco.
Quest’ultimo punto è cruciale. Pagare un riscatto affronta la crisi immediata, ma raramente risolve le lacune di sicurezza sottostanti che hanno permesso agli aggressori di entrare. Se lo stesso vettore di phishing, il software non aggiornato o il punto di accesso remoto esposto è ancora presente dopo l’incidente, nulla impedisce allo stesso gruppo, o a un affiliato che ha acquistato l’accesso agli stessi dati della vittima, di riprovare. Il nostro precedente approfondimento sulla ricerca di Proofpoint sui pagatori di ransomware esamina più a fondo la frequenza di questi episodi ripetuti e il motivo per cui il pagamento stesso può fungere da segnale per altri gruppi criminali che un bersaglio è vulnerabile.
Ridurre il rischio di estorsione prima che si concretizzi
La buona notizia è che le organizzazioni non sono impotenti. Le misure che riducono il rischio ransomware sono in gran parte le stesse che i team di sicurezza raccomandano da anni, solo che ora, alla luce di questi dati, assumono un’urgenza ancora maggiore.
Mantenere backup offline e testati rimane il modo più efficace per non dover mai affrontare la decisione se pagare o meno. Se i sistemi possono essere ripristinati dal backup senza dover usare la chiave di decrittazione dell’aggressore, l’intero presupposto dell’estorsione crolla. Anche la segmentazione della rete è importante: limitare la capacità di movimento dell’aggressore una volta all’interno riduce il raggio d’azione di ogni singola compromissione, il che a sua volta riduce la leva negoziale durante una trattativa per il riscatto.
Il monitoraggio continuo delle minacce e il rilevamento degli endpoint aiutano a intercettare le intrusioni prima che si trasformino in eventi di cifratura completa. Molti attacchi ransomware si sviluppano nell’arco di giorni o settimane tra l’accesso iniziale e il payload finale; quella finestra temporale è un’opportunità per intervenire. Le pratiche di accesso remoto sicuro, compreso l’uso di una VPN per connessioni cifrate e l’autenticazione a più fattori per chiunque acceda dall’esterno della rete aziendale, chiudono uno dei punti di ingresso più comuni sfruttati dai criminali. Nessuna di queste misure garantisce l’immunità, ma insieme riducono le probabilità che un’azienda si trovi a dover fronteggiare una richiesta di riscatto.
Cosa significa per te
Se la tua organizzazione viene mai colpita da un ransomware, i risultati di Proofpoint suggeriscono che il pagamento non dovrebbe essere considerato una soluzione definitiva. Prima di autorizzare qualsiasi pagamento, vale la pena chiedersi se la vulnerabilità sottostante sia stata identificata e chiusa, perché se così non fosse, il pagamento potrebbe essere semplicemente la prima rata di un rapporto continuativo con l’aggressore.
Questo è anche il momento di coinvolgere tempestivamente le forze dell’ordine, e non in un secondo momento. Le agenzie che monitorano i gruppi ransomware possono talvolta offrire strumenti di decrittazione, informazioni sulle minacce relative al comportamento di una specifica banda, o contesto sulla propensione di un gruppo a praticare estorsioni ripetute. Ricorrere a competenze esterne di risposta agli incidenti prima di prendere una decisione sul pagamento, anziché dopo, offre a un’organizzazione un quadro più chiaro delle opzioni effettivamente disponibili.
Per le aziende più piccole, prive di team di sicurezza dedicati, il calcolo è simile, ma le risorse sono più scarse. Ciò rende la prevenzione ancora più importante: semplici pratiche di base come backup regolari, software aggiornati e strumenti di accesso remoto sicuro fanno più per ridurre il rischio di quanto possa mai fare qualsiasi decisione post-incidente.
Punti chiave
La lezione principale di questo sondaggio Proofpoint è chiara: un pagamento del riscatto fa guadagnare tempo, non garantisce sicurezza. Le organizzazioni dovrebbero considerare ogni incidente ransomware come la prova di una lacuna di sicurezza da colmare, indipendentemente dal fatto che venga effettuato un pagamento. Tra i passi pratici che vale la pena prioritizzare rientrano il mantenimento di backup offline, la segmentazione delle reti, il monitoraggio dei primi segnali di intrusione e la protezione dell’accesso remoto con autenticazione forte e connessioni cifrate.
Soprattutto, qualsiasi decisione di pagamento dovrebbe essere accompagnata da un serio piano di riparazione, e non sostituirlo. Le bande di ransomware gestiscono un’attività, e i dati suggeriscono che sanno esattamente quali clienti vale la pena di fatturare due volte.
