Qilin e The Gentlemen: le gang del ransomware intensificano gli attacchi alle PMI

Gli attacchi ransomware alle piccole imprese hanno subito una brusca escalation. Due operazioni di cybercrime, note come Qilin e The Gentlemen, si contenderebbero il predominio nel settore del ransomware-as-a-service, e le piccole e medie imprese (PMI) si trovano intrappolate nel fuoco incrociato. Invece di un'unica gang dominante che estorce le vittime, i ricercatori di sicurezza stanno ora osservando due aggressive operazioni in gara per compromettere reti, rubare dati ed esigere pagamenti, spesso da organizzazioni che meno possono permettersi l'interruzione.

Questa rivalità è importante perché cambia la struttura degli incentivi per gli attaccanti. Quando due gruppi competono per quote di mercato nell'economia del ransomware, entrambi hanno motivo di agire più velocemente, gettare una rete più ampia e puntare a bersagli più facili piuttosto che attendere il pagamento più cospicuo possibile. Le PMI, che tipicamente operano con team IT ridotti e infrastrutture datate, corrispondono perfettamente a questo profilo.

Perché Qilin e The Gentlemen prendono di mira le PMI

Le grandi imprese tendono a investire massicciamente in strumenti di rilevamento, personale di sicurezza dedicato e contratti di incident response. Le piccole imprese di solito non hanno questo lusso. Un operatore ransomware che valuta dove impiegare tempo e risorse limitati sceglierà spesso la via di minor resistenza, e quella via conduce sempre più spesso alle PMI.

La competizione tra gang come Qilin e The Gentlemen sembra accelerare questa tendenza. Quando gli affiliati all'interno di un modello ransomware-as-a-service sono incentivati a colpire quante più vittime possibile, gravitano verso organizzazioni con minori difese e minore capacità di negoziare o riprendersi autonomamente. Il risultato è un approccio basato sui volumi in cui le PMI diventano il bersaglio predefinito anziché un pensiero secondario.

Come queste gang di ransomware ottengono l'accesso iniziale

Gli operatori ransomware raramente hanno bisogno di scrivere malware sofisticati su misura per irrompere. Nella maggior parte delle campagne tracciate nel settore, l'accesso iniziale proviene da debolezze molto più banali: punti di accesso remoto esposti o scarsamente protetti, credenziali rubate o riutilizzate, software non aggiornato ed email di phishing che ingannano un dipendente inducendolo a cedere le proprie credenziali di accesso.

Una volta dentro, gli attaccanti tipicamente si muovono lateralmente attraverso la rete, aumentano i privilegi e individuano i sistemi di backup prima di distribuire il payload di cifratura vero e proprio. Se i backup sono raggiungibili dalla stessa rete compromessa, o se l'accesso al desktop remoto e alla VPN non sono strettamente controllati, gli attaccanti hanno tutto ciò di cui hanno bisogno per bloccare le operazioni ed esigere il pagamento. Il furto di dati avviene spesso in parallelo, dando alle gang una seconda leva di pressione: paga o vedrai i tuoi file rubati pubblicati pubblicamente. La violazione di World Leaks Mediaworks illustra esattamente quanto possa essere dannosa questa seconda fase quando i dati rubati finiscono su un sito di leak a disposizione di chiunque per il download.

Il costo reale di un attacco ransomware per una piccola impresa

Per una grande azienda, un incidente ransomware è doloroso ma superabile. Per una piccola impresa, può essere esistenziale. L'inattività durante il recupero significa perdita di fatturato senza alcun margine per assorbirla. La fiducia dei clienti si erode rapidamente quando buste paga, documenti dei clienti o informazioni sanitarie vengono esposti. Gli obblighi legali e normativi si applicano indipendentemente dalle dimensioni dell'azienda, e il costo delle indagini forensi, della ricostruzione dei sistemi e dell'eventuale pagamento del riscatto può prosciugare le riserve di liquidità su cui molte PMI fanno affidamento per rimanere a galla.

La rivalità tra Qilin e The Gentlemen aggiunge urgenza in questo contesto. Quando i gruppi competono su velocità e volume piuttosto che sulla selettività, le aziende che presumono di essere troppo piccole per meritare l'attenzione di un attaccante vengono sempre più spesso smentite.

Difese a strati: VPN, backup e controlli degli accessi che funzionano davvero

Le PMI non hanno bisogno di budget su scala aziendale per ridurre significativamente il rischio, ma devono colmare le lacune su cui gli attaccanti fanno maggiore affidamento.

• Proteggi l'accesso remoto. Se dipendenti o collaboratori si connettono da remoto, tale accesso dovrebbe passare attraverso una VPN correttamente configurata o uno strumento di accesso zero-trust con autenticazione a più fattori abilitata, non attraverso una porta di desktop remoto esposta e aperta su internet.
• Isola e testa i backup. I backup archiviati sulla stessa rete dei sistemi di produzione sono una passività, non una rete di sicurezza. Backup offline o immutabili, testati regolarmente per il ripristino, sono ciò che consente davvero a un'azienda di riprendersi senza pagare un riscatto.
• Limita l'accesso privilegiato. Non tutti i dipendenti hanno bisogno di diritti amministrativi. Limitare l'accesso riduce la portata del movimento di un attaccante una volta ottenuto un punto d'appoggio.
• Applica patch con costanza. Molte intrusioni ransomware sfruttano vulnerabilità note per le quali esistono già correzioni disponibili. Una cadenza regolare di applicazione delle patch chiude le porte che gli attaccanti stanno attivamente cercando.

Cosa significa questo per te

Se gestisci o amministri l'IT per una piccola impresa, la rivalità tra Qilin e The Gentlemen è un promemoria che i gruppi ransomware stanno attivamente dando la caccia a organizzazioni esattamente come la tua. Presumere di essere troppo piccoli per attirare l'attenzione non è più una scommessa sicura. Le aziende che si riprendono più rapidamente dagli incidenti ransomware sono quasi sempre quelle che avevano backup offline, controlli di accesso limitati e connessioni remote protette già in atto prima dell'attacco, non dopo.

Punti chiave

• Gli attacchi ransomware alle piccole imprese si stanno intensificando poiché le gang rivali competono per bersagli e velocità.
• L'accesso remoto debole e la scarsa igiene delle credenziali rimangono i punti di ingresso più comuni.
• I backup offline e testati sono il metodo più affidabile per evitare di pagare un riscatto.
• Limitare l'accesso privilegiato rallenta gli attaccanti anche dopo che si è verificata una violazione.
• Il furto di dati spesso accompagna la cifratura, il che significa che la sicurezza proattiva è importante anche se non si ha mai intenzione di pagare un riscatto.

Stare un passo avanti rispetto agli attacchi ransomware alle piccole imprese non richiede un enorme budget per la sicurezza. Richiede di colmare le lacune di base che gang come Qilin e The Gentlemen stanno attivamente sfruttando in questo momento.