Un'azienda di corriere messicana ha vissuto uno dei peggiori incubi per qualsiasi piccola o media impresa: passare tre mesi con gli aggressori nascosti all'interno della propria rete prima di accorgersi che qualcosa non andava. Quando finalmente se ne sono accorti, era troppo tardi. I criminali informatici avevano rubato informazioni sensibili e cifrato fino a sei server usando BitLocker, lo strumento di crittografia incluso nativamente in Windows. L'azienda ha pagato meno di 5.000 dollari per recuperare l'accesso, ma questo si è rivelato solo l'inizio di un problema molto più grande: ha dovuto ricostruire completamente la propria infrastruttura digitale perché non poteva più fidarsi di nessun sistema toccato dagli aggressori.

Tre mesi invisibili: il vero costo del tempo di permanenza

L'aspetto più rivelatore di questo caso non è la cifratura finale, ma il tempo in cui gli aggressori sono rimasti inosservati. Tre mesi sono sufficienti per mappare un'intera rete aziendale, identificare dove si trovano i dati più preziosi, rubare copie di tali informazioni e, solo allora, eseguire la cifratura. Questo schema, noto come doppia estorsione, è diventato standard tra i gruppi di ransomware: prima esfiltrano i dati per avere una seconda leva di pressione (minacciare di pubblicarli) e poi bloccano i sistemi per forzare il pagamento.

L'uso di BitLocker in questo attacco è particolarmente degno di nota. Invece di distribuire malware di cifratura personalizzato, che può essere rilevato dagli antivirus o dalle soluzioni di sicurezza, gli aggressori hanno sfruttato uno strumento legittimo già installato sui server della vittima. Questa tattica, nota come "living off the land" (vivere di ciò che c'è), è sempre più comune perché riduce la probabilità che il software di sicurezza segnali l'attività come sospetta. Per una PMI con risorse di monitoraggio limitate, ciò significa che i segnali di allarme possono passare completamente inosservati.

Pagare il riscatto non risolve il problema di fondo

Uno degli insegnamenti più importanti di questo caso è che pagare il riscatto, anche una cifra relativamente bassa come meno di 5.000 dollari, non elimina il danno reale. L'azienda ha recuperato le chiavi di decrittazione, ma questo non le ha restituito la fiducia nella propria infrastruttura. Quando un aggressore ha avuto accesso prolungato a una rete, qualsiasi sistema, credenziale o configurazione potrebbe essere stato compromesso o modificato. Per questo la ricostruzione completa, sebbene costosa e dirompente, è spesso l'unica opzione responsabile.

Questo ha implicazioni dirette sulla privacy. Se gli aggressori hanno rubato informazioni prima di cifrare i server, quei dati (che potrebbero includere informazioni di clienti, dipendenti o partner commerciali) sono già fuori dal controllo dell'azienda, indipendentemente dal pagamento o meno del riscatto. È lo stesso tipo di esposizione dei dati che ha alimentato preoccupazioni più ampie sulla sorveglianza e la gestione delle informazioni personali, un tema che attraversa anche dibattiti normativi come quello sul Chat Control nell'Unione Europea, in cui si discute chi può accedere alle comunicazioni private e a quali condizioni. La lezione è la stessa in entrambi gli scenari: una volta che i dati escono da mani sicure, è praticamente impossibile garantire che non vengano utilizzati in modo improprio.

Cosa significa questo per te

Se gestisci una PMI o lavori in un piccolo team IT, questo caso dovrebbe servire da avvertimento concreto, non come una storia lontana. Le PMI sono obiettivi allettanti proprio perché di solito hanno meno livelli di difesa rispetto alle grandi aziende, ma gestiscono dati altrettanto preziosi: informazioni finanziarie, dati dei clienti e credenziali di accesso ai sistemi cloud.

Alcune misure pratiche che riducono il rischio che la tua azienda finisca in una situazione simile includono: mantenere backup veramente isolati dalla rete principale (offline o su storage immutabile), rivedere e limitare chi ha privilegi amministrativi e monitorare l'uso di strumenti legittimi del sistema operativo che potrebbero essere utilizzati in modo improprio, come è accaduto qui con BitLocker. Vale anche la pena rivedere come viene protetto il traffico di rete interno e remoto, specialmente se il personale si connette da postazioni diverse dall'ufficio; in questi casi, capire quali strumenti di protezione esistono per la tua regione, come dettagliato in questa guida sul miglior VPN per El Salvador, può aiutarti a valutare opzioni simili applicabili al Messico e ad altri paesi della regione.

Inoltre, è bene tenere presente che il furto di dati durante un attacco ransomware non è un evento isolato: le informazioni sottratte possono finire per circolare o essere utilizzate per altri scopi, un rischio che si collega a preoccupazioni più ampie sul tracciamento e l'uso dei dati personali, come documentato in casi in cui le agenzie hanno tracciato dispositivi utilizzando dati pubblicitari su larga scala.

Conclusione

Questo attacco ransomware a una PMI messicana conferma ciò che molti esperti di cybersecurity ripetono da anni: pagare il riscatto è raramente la fine della storia. Tre mesi di accesso non autorizzato, il furto di dati e la necessità di ricostruire l'intera infrastruttura da zero mostrano che la prevenzione e il rilevamento precoce valgono molto di più di qualsiasi negoziato successivo con gli aggressori. Se la tua azienda non ha ancora un piano chiaro di backup, monitoraggio e risposta agli incidenti, questo è un buon momento per rivederlo prima di diventare la prossima statistica.