Se il tuo team di sicurezza ha tirato un sospiro di sollievo l'anno scorso quando i titoli sul ransomware sembravano rallentare, una nuova ricerca suggerisce che quel sollievo potrebbe essere stato prematuro. Secondo quanto riportato da ZDNET, l'apparente calo dell'attività ransomware non è stato affatto un ritiro da parte dei criminali informatici. È stato un riassetto, con gli attaccanti che hanno cambiato obiettivi, metodi e strategie di monetizzazione anziché fare marcia indietro. Per le aziende che costruiscono strategie di difesa basate sul quadro delle minacce dell'anno scorso, questo è un importante campanello d'allarme.

Perché il 'declino' del ransomware era un miraggio

A prima vista, un calo negli incidenti ransomware segnalati sembra una buona notizia. Ma i ricercatori sottolineano che il conteggio grezzo degli incidenti può essere fuorviante. Alcuni gruppi ransomware si rinominano, si frammentano o restano in silenzio solo per riemergere sotto nuovi nomi. Altri passano da attacchi ad alto volume e basso valore a operazioni meno numerose ma più mirate contro organizzazioni che possono permettersi riscatti più elevati. Quando si misura il successo esclusivamente contando i titoli dei giornali, si perde il cambiamento di strategia sottostante. La minaccia non si è ridotta, ha cambiato forma, e questa distinzione è fondamentale per come le aziende allocano budget e attenzione per la sicurezza.

Come i gruppi ransomware stanno riorganizzando le loro tattiche

Il riassetto si manifesta in diversi modi. Gli attaccanti combinano sempre più spesso il furto di dati con la crittografia, così che anche un'azienda con backup solidi si trova comunque ad affrontare la minaccia di fughe di informazioni sensibili se rifiuta di pagare. Questo modello a doppia estorsione è esattamente ciò che è accaduto quando Stadler Rail ha rifiutato una richiesta di riscatto di 12,3 milioni di dollari da un gruppo che si fa chiamare Everest, scommettendo che la propria resilienza superasse il rischio di esposizione dei dati. Altri gruppi stanno diventando più creativi a livello tecnico. Il ceppo di ransomware GodDamn che abusa di un driver firmato per disabilitare gli strumenti antivirus mostra come gli attaccanti trovino modi per aggirare proprio le difese che le aziende presumono stiano funzionando in background. E il ransomware non si limita a obiettivi scontati come finanza o sanità. L'attacco a Cropwise, la piattaforma di agricoltura di precisione legata al Gruppo Syngenta, rivendicato da un gruppo chiamato ShadowByt3$, è un promemoria che qualsiasi settore che detiene dati operativi preziosi è un bersaglio lecito.

Le 4 difese essenziali di cui le aziende hanno bisogno ora

Alla luce di questo riassetto, i ricercatori di sicurezza indicano una manciata di difese fondamentali che restano essenziali indipendentemente da come evolve il panorama delle minacce. Primo, backup resilienti e testati, isolati dalla rete principale, in modo che la crittografia dei sistemi di produzione non comprometta anche il percorso di ripristino. Secondo, solidi controlli di identità e accesso, inclusa l'autenticazione a più fattori, poiché credenziali rubate o deboli rimangono uno dei punti d'ingresso più comuni per gli attaccanti. Terzo, applicazione tempestiva di patch e gestione delle vulnerabilità, per chiudere le falle che permettono agli attaccanti di infiltrarsi prima ancora che i difensori se ne accorgano. Quarto, segmentazione della rete, che limita quanto lontano può spostarsi un attaccante una volta entrato, contenendo i danni invece di permettere che un singolo punto d'appoggio si trasformi in una compromissione totale della rete.

Nessuna di queste idee è nuova, ma il riassetto delle tattiche ransomware ricorda che trascurarne anche una sola crea un'apertura che gli attaccanti cercano attivamente di sfruttare.

Come VPN e accesso crittografato si inseriscono nella resilienza al ransomware

L'accesso remoto sicuro gioca un ruolo silenzioso ma cruciale in questo stack difensivo. Le VPN e altri strumenti di connessione crittografata aiutano a garantire che i dati in transito tra dipendenti remoti, filiali e sistemi centrali non vengano esposti a intercettazioni e possono essere configurati per imporre quel tipo di accesso segmentato che limita il movimento laterale se le credenziali vengono compromesse. Abbinare una VPN a rigide policy di accesso significa che anche se un attaccante ottiene un punto d'appoggio, non ottiene automaticamente una mappa dell'intera rete. Questo è particolarmente rilevante poiché i gruppi ransomware prendono sempre più di mira organizzazioni e agenzie più piccole che potrebbero non avere team di sicurezza dedicati, come visto nel caso di un'agenzia governativa statunitense che ha pagato circa 1 milione di dollari a un gruppo chiamato Kairos dopo il furto di 2 TB di dati. L'accesso crittografato e segmentato non fermerà ogni attacco, ma alza il costo e la complessità per gli attaccanti, il che spesso basta a farli passare a un obiettivo più facile.

Cosa significa per te

Se gestisci l'IT o la sicurezza per una piccola o media impresa, il messaggio chiave non è il panico, ma la ricalibrazione. Non dare per scontato che i titoli più leggeri dell'anno scorso significhino che la minaccia sia passata. I gruppi ransomware sono aziende adattive a pieno titolo e rispondono a ciò che funziona. Ciò significa che le tue difese devono essere altrettanto adattive, riviste regolarmente anziché trattate come una lista di controllo una tantum.

Spunti operativi

Verifica la tua strategia di backup e conferma che i backup siano isolati e regolarmente testati per il ripristino, non solo per la creazione. Rivedi chi ha accesso a cosa e rafforza l'autenticazione a più fattori su tutti gli account remoti e privilegiati. Mantieniti aggiornato con le patch, specialmente per i sistemi esposti su Internet e l'infrastruttura VPN stessa. Infine, valuta se la segmentazione della rete e la configurazione dell'accesso remoto sicuro conterrebbero effettivamente un attaccante che ha superato la prima linea di difesa, invece di dare per scontato che non verrà mai messa alla prova. Le organizzazioni che trattano le strategie di difesa dal ransomware a livello aziendale come una disciplina continua, non come un progetto finito, sono quelle meglio posizionate per affrontare qualsiasi forma assumerà la minaccia in futuro.