Riscatto o no? Perché l'estorsione informatica è una crisi della privacy

Quando un messaggio di riscatto appare sugli schermi di un'azienda, l'istinto è spesso di trattarlo come un'emergenza IT: isolare la rete, chiamare il team di sicurezza, valutare i danni ai server. Ma un crescente numero di linee guida, come illustrato di recente da Cyber Daily nella sua analisi del processo decisionale nell'estorsione informatica, rende chiaro che pagare o rifiutare un riscatto è molto più di una scelta tecnica. È una decisione legale, finanziaria e, soprattutto, di privacy che tocca ogni cliente, dipendente e partner i cui dati risiedono nei sistemi violati.

Il campo minato legale dietro la decisione di pagare un riscatto

Uno degli aspetti più trascurati dell'estorsione informatica è che pagare i criminali non è sempre legalmente semplice. A seconda di chi c'è dietro l'attacco, un pagamento di riscatto può esporre l'organizzazione pagante al rischio di sanzioni, in particolare quando l'autore della minaccia o la sua infrastruttura sono collegati a un'entità o giurisdizione sanzionata. Le organizzazioni che si affrettano a pagare senza una revisione legale possono trovarsi ad affrontare controlli normativi oltre alla violazione stessa. Come illustrato nella nostra precedente analisi su come i pagamenti ransomware rischiano le sanzioni OFAC, la decisione di pagare non riguarda solo se un'azienda può permettersi la richiesta. Riguarda se il pagamento stesso sia legale e se l'organizzazione abbia svolto la dovuta diligenza per scoprirlo.

È proprio per questo che la risposta all'estorsione informatica non può spettare esclusivamente all'ufficio IT. Legali, responsabili della conformità e spesso le forze dell'ordine devono far parte della conversazione fin dal primo momento possibile, non essere coinvolti dopo che un pagamento è già stato effettuato.

Perché questo è un problema di privacy, non solo un problema IT

In passato il ransomware serviva principalmente a bloccare file. Questo è cambiato. I moderni gruppi di estorsione rubano sempre più spesso i dati prima di cifrare qualsiasi cosa, per poi usare la minaccia di divulgarli come leva. Questo cambiamento trasforma ogni incidente ransomware in un incidente di privacy dei dati, indipendentemente dal ripristino finale dei sistemi.

Abbiamo visto questa evoluzione accelerare in tempo reale. Alcuni gruppi sono andati oltre la minaccia diretta all'organizzazione vittima e ora minacciano di contattare i clienti stessi di un'azienda, esercitando pressione prendendo di mira le persone i cui dati personali sono effettivamente a rischio. Questa tattica cambia completamente il calcolo: persino un pagamento completo del riscatto non garantisce che i dati dei clienti rubati non vengano divulgati, venduti o usati per ulteriori estorsioni.

Le organizzazioni che valutano una richiesta di riscatto devono chiedersi non solo "possiamo recuperare i nostri sistemi", ma "cosa succede ai dati personali di tutti coloro che sono nei nostri sistemi, indipendentemente da ciò che decidiamo". Un pagamento di riscatto potrebbe comprare una chiave di decrittazione. Non cancella il fatto che dati sensibili siano stati esposti a criminali in primo luogo.

Pagare non garantisce sicurezza

Anche quando le organizzazioni pagano, non ci sono prove attendibili che il problema finisca lì. Una ricerca di Proofpoint ha rilevato che una quota significativa di aziende che pagano un riscatto subisce ripetuti tentativi di estorsione, a volte da parte degli stessi aggressori che tornano per un secondo pagamento. Questo dato smonta una delle giustificazioni più comuni per il pagamento: la convinzione che faccia sparire il problema.

Alcune organizzazioni hanno scelto una strada completamente diversa. Stadler Rail, il produttore svizzero di treni, ha pubblicamente rifiutato una richiesta di riscatto multimilionaria dopo che gli aggressori avevano rubato dati tramite un fornitore terzo, scommettendo che il rifiuto fosse meno rischioso che legittimare l'economia dell'estorsione. Nel frattempo, il panorama del ransomware continua a mutare; un recente resoconto di settore che traccia quali gruppi dominano l'attuale ambiente delle minacce mostra che pagare una banda non riduce il rischio complessivo rappresentato dalle dozzine di altre ancora attive.

Cosa significa per te

Che tu gestisca una piccola impresa o la sicurezza di una grande azienda, la decisione se pagare o meno non dovrebbe mai essere presa in isolamento da chi amministra i server. Richiede una revisione legale per l'esposizione a sanzioni e normative, una valutazione della privacy su quali dati siano stati effettivamente consultati e la consapevolezza realistica che il pagamento non offre alcuna garanzia contro future estorsioni o fughe di dati. Per i consumatori comuni, il messaggio è diverso ma correlato: la sicurezza dei tuoi dati personali dopo una violazione dipende in larga misura da decisioni prese da aziende con cui potresti non interagire mai direttamente, ed è per questo che capire come le organizzazioni gestiscono l'estorsione informatica è importante anche se non sei tu a trovarti di fronte al messaggio di riscatto.

Spunti concreti

Le organizzazioni dovrebbero predisporre un piano di risposta agli incidenti prima che un attacco avvenga, un piano che includa esplicitamente consulenza legale e valutazione della privacy insieme alla riparazione tecnica. Non trattare mai la decisione di pagare un riscatto come puramente finanziaria; i rischi legati a sanzioni e conformità sono reali e possono aggravare la violazione originale. Dai per scontato che qualsiasi dato esfiltrato possa essere già compromesso, indipendentemente dal pagamento, e pianifica di conseguenza le notifiche a clienti e dipendenti. Infine, ricorda che la strategia più sicura a lungo termine contro l'estorsione informatica non è un rapido pagamento del riscatto, ma difese più solide che impediscano al tentativo di estorsione di avere successo in primo luogo.