Cosa Mostrano i Nuovi Dati sui Pagamenti Ransomware

Un nuovo rapporto della società di sicurezza Proofpoint, pubblicato mercoledì, offre una conferma scomoda per chiunque abbia mai pensato di pagare un gruppo ransomware per far sparire un problema: una percentuale significativa delle vittime che pagano finisce per affrontare una seconda richiesta di estorsione. Il rapporto rafforza ciò che i ricercatori di sicurezza e i responder degli incidenti sostengono da anni, ovvero che le trattative con i ransomware non sono condotte in buona fede e che pagare non garantisce che l'aggressore si faccia effettivamente da parte.

I dati di Proofpoint aggiungono numeri concreti a uno schema che i difensori sospettavano da tempo a livello aneddotico. Le organizzazioni che accettano di pagare un riscatto non stanno comprando la conclusione della vicenda. Spesso stanno comprando un secondo round di pressione da parte dello stesso aggressore, o di un gruppo completamente diverso, che torna per chiedere di più.

Perché Pagare un Riscatto Invita a un Secondo Attacco

La logica dietro l'estorsione ripetuta è semplice, se la si guarda dalla prospettiva dell'aggressore. L'intero modello di business di un gruppo ransomware si basa sul fatto che le vittime credano che il pagamento ponga fine alla crisi. Ma non esiste alcun contratto legale, alcun meccanismo di applicazione e alcun rischio reputazionale abbastanza forte da garantire la parola di un aggressore una volta che il denaro è stato trasferito. Se una vittima ha già dimostrato volontà e capacità di pagare, diventa un bersaglio più attraente, non un conto chiuso.

Questo è parte del motivo per cui i ricercatori di sicurezza descrivono la trattativa con i ransomware come fondamentalmente diversa da una normale transazione commerciale. Non c'è alcun incentivo per l'altra parte a farsi effettivamente da parte. Un gruppo criminale che è riuscito a estorcere un pagamento una volta ha tutte le ragioni per verificare se la stessa organizzazione pagherà di nuovo, sia criptando di nuovo i sistemi, minacciando di far trapelare i dati rubati in precedenza una seconda volta, o semplicemente riaprendo una nuova richiesta legata alla violazione originale.

Questa dinamica è strettamente correlata a ciò che il settore chiama doppia estorsione o multi-estorsione, in cui gli aggressori non si limitano a criptare i file ma rubano anche i dati in anticipo, ottenendo così molteplici punti di pressione per spremere una vittima anche dopo il pagamento del riscatto. I risultati di Proofpoint suggeriscono che anche dopo che quella campagna di pressione iniziale ha successo, il pozzo non si prosciuga necessariamente.

Come le Violazioni Non Rilevate Rendono Più Facile la Ri-Estorsione

Un motivo per cui l'estorsione ripetuta funziona così bene per gli aggressori è che molte vittime non comprendono appieno la portata della violazione nel momento in cui decidono di pagare. Se un'organizzazione scopre file criptati e negozia un riscatto senza prima identificare esattamente quali dati sono stati accessibili, copiati o lasciati come backdoor, ha di fatto concordato un prezzo senza sapere cosa sta effettivamente ricomprando.

Questo divario tra rilevamento e risposta è un tema ricorrente nella ricerca sul ransomware. Come trattato in un rapporto correlato sui fallimenti nel rilevamento dei ransomware, quasi la metà di tutte le vittime di ransomware perde dati prima ancora di rendersi conto che un attacco è in corso. Quel ritardo è di enorme importanza in questo contesto: se una vittima non sa che un aggressore ha esfiltrato dati settimane prima di distribuire il ransomware, pagare per sbloccare i file non serve a nulla per i dati rubati che giacciono su un server criminale, che possono essere monetizzati di nuovo tramite una seconda richiesta, venduti separatamente o utilizzati per una nuova minaccia di fuga di notizie in futuro.

Passi Difensivi: Backup, Monitoraggio e Pianificazione della Risposta agli Incidenti

L'insegnamento pratico del rapporto di Proofpoint non è che non si dovrebbe mai pagare un riscatto in nessuna circostanza. È che il pagamento non dovrebbe mai essere considerato una risoluzione garantita. Le organizzazioni, e gli individui che gestiscono reti o aziende più piccole, sono meglio serviti investendo a monte nella prevenzione e nel rilevamento piuttosto che a valle nella negoziazione.

Ciò significa mantenere backup regolari, testati e offline in modo che i file criptati possano essere ripristinati senza pagare nessuno. Significa investire in strumenti di monitoraggio in grado di rilevare accessi non autorizzati ai dati prima che gli aggressori abbiano il tempo di esfiltrare grandi volumi di informazioni sensibili. E significa avere un piano di risposta agli incidenti in atto prima che un attacco si verifichi, che includa indagini forensi per determinare esattamente cosa è stato accessibile, non solo se i file sono stati criptati.

Cosa Significa per Te

Per i proprietari di piccole imprese e gli individui, il messaggio di questa ricerca è chiaro: non dare per scontato che pagare un riscatto sia la soluzione rapida e pulita che sembra sul momento. Gli aggressori che hanno già dimostrato di essere disposti a estorcerti una volta hanno sia i mezzi che il movente per farlo di nuovo. La vera difesa contro gli attacchi di estorsione ripetuta da ransomware non è una strategia di negoziazione migliore, ma ridurre la probabilità di trovarsi in quella posizione in primo luogo, attraverso backup solidi, rilevamento più rapido e un piano di risposta chiaro.

Consigli Pratici

  • Considera il pagamento del riscatto come ultima risorsa, non come una soluzione garantita, poiché i dati di Proofpoint mostrano che gli aggressori tornano frequentemente con nuove richieste.
  • Dai priorità a backup offline e testati, in modo che la sola crittografia non possa forzare una decisione di pagamento.
  • Investi in strumenti di rilevamento che individuino tempestivamente l'esfiltrazione dei dati, poiché un rilevamento ritardato offre agli aggressori maggiore potere per l'estorsione ripetuta.
  • Crea un piano di risposta agli incidenti prima che si verifichi un attacco, che includa passaggi forensi per determinare l'intera portata di qualsiasi violazione.
  • Dai per scontato che tutti i dati rubati prima del pagamento di un riscatto rimangano un rischio futuro, indipendentemente da ciò che gli aggressori promettono.