Sondaggio Proofpoint: Pagare le bande ransomware si ritorce spesso contro

I pagamenti ransomware raramente eliminano la minaccia, rileva il sondaggio

Un nuovo sondaggio della società di sicurezza Proofpoint fornisce nuovi numeri a sostegno di un avvertimento che le forze dell'ordine ripetono da anni: pagare una banda ransomware raramente fa scomparire il problema. Secondo la ricerca, il 58 percento delle aziende intervistate nel Regno Unito ha ammesso di aver pagato un riscatto dopo un attacco ransomware. Ma i dati suggeriscono che quella decisione spesso porta più problemi invece di una soluzione definitiva.

Il sondaggio ha rilevato che circa il 22 percento delle organizzazioni che hanno pagato un riscatto sono state estorte di nuovo dagli stessi aggressori, a volte per ulteriori pagamenti legati agli stessi dati rubati. In alcuni casi, le vittime hanno pagato una volta per sbloccare i propri sistemi per poi essere contattate settimane o mesi dopo con nuove minacce di far trapelare le stesse informazioni a meno che non venisse effettuato un altro pagamento. Ancora più preoccupante, circa il 2 percento delle vittime che hanno pagato un riscatto non ha mai riavuto i propri file, perché gli strumenti di decrittazione forniti dagli aggressori non hanno funzionato o perché i criminali semplicemente non hanno mai avuto intenzione di mantenere la promessa.

Questo schema corrisponde a ciò che FBI ed Europol dicono alle aziende da anni: i pagamenti dei riscatti finanziano le operazioni criminali, raramente garantiscono una soluzione pulita e possono far classificare un'organizzazione come un bersaglio debole disposto a pagare di nuovo.

Perché i pagamenti dei riscatti invitano ad attacchi ripetuti

La logica dietro la ri-estorsione è lineare dal punto di vista del criminale. Una volta che un'azienda ha dimostrato che pagherà per far sparire un problema, quell'azienda diventa una quantità nota per gli aggressori, e spesso per altri gruppi criminali che comprano e vendono dati delle vittime nei forum clandestini. Pagare un riscatto non significa necessariamente che i dati rubati vengano eliminati. In molti casi, copie rimangono sull'infrastruttura degli aggressori, vengono condivise con gruppi affiliati o vengono tenute silenziosamente come leva per un secondo round di richieste.

Questa è la tensione centrale che i dati di Proofpoint mettono in evidenza: il sollievo a breve termine di pagare per ripristinare le operazioni può creare una responsabilità a lungo termine. Gli aggressori sanno che un'azienda sotto pressione per riprendere l'attività, proteggere la fiducia dei clienti ed evitare il controllo normativo è più propensa a pagare di nuovo piuttosto che andarsene e accettare le conseguenze di una fuga di dati. Proprio questo calcolo alimenta la ri-estorsione, ed è per questo che i ricercatori di sicurezza continuano a descrivere il pagamento di un riscatto come una decisione che scambia una crisi immediata con una potenzialmente più grande e ricorrente. La copertura di questo stesso sondaggio Proofpoint sugli attacchi ransomware ripetuti ha osservato che la struttura degli incentivi per gli aggressori si rafforza non appena una vittima dimostra di essere disposta a pagare.

Le conseguenze sulla privacy oltre il riscatto

Mentre la copertura dei ransomware si concentra spesso sui tempi di inattività operativa, le implicazioni per la privacy meritano la stessa attenzione. Quando un'azienda paga un riscatto per impedire l'esposizione dei dati, si sta di fatto fidando di un'impresa criminale che promette qualcosa senza alcuna applicabilità legale. I dati dei clienti, i registri dei dipendenti, i dettagli finanziari e le informazioni sanitarie possono rimanere esposti alla rivendita o alla fuga indipendentemente dal pagamento. Per le persone i cui dati si trovano all'interno di questi sistemi violati, un pagamento di riscatto non offre alcuna reale garanzia che le loro informazioni personali siano al sicuro.

Questo è particolarmente rilevante per le organizzazioni che gestiscono dati personali sensibili, dove una violazione può far scattare obblighi di notifica, sanzioni normative e danni duraturi alla reputazione molto tempo dopo che un riscatto è stato pagato. I risultati del sondaggio rafforzano il fatto che un ransomware non è solo un incidente informatico. È un incidente di privacy con conseguenze che possono riemergere molto tempo dopo che i titoli iniziali sono svaniti.

Cosa significa per te

Se gestisci un'azienda, o prendi decisioni IT e di sicurezza per una, il messaggio da questo sondaggio è chiaro: pagare un riscatto non è un percorso garantito verso la risoluzione, e può aumentare la tua esposizione ad attacchi futuri. Le decisioni prese nel panico di un incidente attivo dovrebbero essere soppesate con la realtà che gli aggressori spesso conservano i dati rubati indipendentemente dal pagamento, e che una visibile disponibilità a pagare può rendere un'organizzazione un bersaglio ripetuto.

Per i consumatori comuni, questo è un promemoria che le violazioni dei dati legate agli attacchi ransomware possono avere una coda più lunga di quanto suggerisca la copertura giornalistica iniziale. Le informazioni personali esposte in un incidente possono riemergere in fughe successive, anche se l'azienda coinvolta ha dichiarato la situazione risolta.

Punti chiave

• Quasi sei organizzazioni britanniche su dieci intervistate hanno pagato un riscatto dopo un attacco, secondo i dati di Proofpoint.
• Circa il 22 percento di coloro che hanno pagato sono stati estorti di nuovo, spesso utilizzando gli stessi dati rubati.
• Una piccola percentuale di vittime che hanno pagato non ha mai riavuto accesso ai propri file.
• Le agenzie di polizia, tra cui FBI ed Europol, continuano a raccomandare di non pagare le richieste di riscatto.
• Le aziende dovrebbero investire nella pianificazione della risposta agli incidenti, nei backup offline e nella prontezza alla notifica delle violazioni, invece di considerare il pagamento del riscatto come una soluzione rapida.

Il ransomware rimane una minaccia persistente, ma questo sondaggio aggiunge peso a un messaggio che i professionisti della sicurezza spingono da anni: pagare non compra tranquillità. Sia le organizzazioni che gli individui sono meglio serviti dalla prevenzione, dalla preparazione e dallo scetticismo verso qualsiasi promessa fatta da attori criminali che tengono in ostaggio i dati rubati.