Cosa mostrano i nuovi dati sulle estorsioni ripetute da ransomware

Nuovi dati riportati da Connor Jones su DataBreaches.Net confermano ciò che i ricercatori di sicurezza sospettavano da anni: pagare un gruppo ransomware non pone fine al calvario, spesso segna solo l'inizio del secondo round. Secondo i dati di un sondaggio citati insieme al rapporto, il 58% delle organizzazioni britanniche colpite ha scelto di pagare il riscatto lo scorso anno. Tra coloro che hanno pagato, il 22% è stato colpito nuovamente dallo stesso gruppo criminale o da uno diverso, con la richiesta di un secondo pagamento.

Ciò significa che circa un'organizzazione su cinque che ha preso la difficile decisione di pagare non ha ottenuto nulla di duraturo in cambio del proprio denaro. Il ciclo delle estorsioni è semplicemente ricominciato, a volte nell'arco di poche settimane. Questo schema di pagamenti ripetuti a fronte di estorsioni ransomware sta diventando una caratteristica distintiva dell'attuale panorama delle minacce e sta costringendo i team di sicurezza e i dirigenti a riconsiderare l'intera logica che sta alla base della scelta di pagare, mettendo in dubbio che sia mai una risposta razionale.

Perché pagare una volta invita a un secondo attacco

Dal punto di vista criminale, la logica alla base delle estorsioni ripetute è semplice. Una volta che un'organizzazione dimostra di essere disposta a pagare, diventa un bersaglio marcato. Gli operatori ransomware tengono traccia di quali vittime hanno ceduto, della rapidità con cui hanno pagato e di quanto sono state disposte a versare. Queste informazioni spesso circolano tra reti di affiliati e a volte vengono vendute o condivise tra gruppi criminali che operano secondo il modello ransomware-as-a-service.

Una vittima che paga 500.000 dollari una volta ha di fatto segnalato di avere sia le riserve di denaro che la tolleranza al rischio per pagare di nuovo. Gli aggressori sanno che una seconda intrusione, anche meno sofisticata, ha buone probabilità di successo se le vulnerabilità che hanno permesso la prima violazione non sono mai state completamente risolte. In molti casi di doppia e tripla estorsione, i dati rubati non vengono nemmeno eliminati dopo il pagamento, nonostante le promesse contrarie, lasciando aperta la porta a una richiesta successiva basata sulla minaccia di pubblicare quelle stesse informazioni rubate.

È proprio per questo motivo che le forze dell'ordine, incluso l'FBI, hanno costantemente sconsigliato di pagare i riscatti. Il pagamento non garantisce il recupero dei dati, né la cancellazione dei file rubati e, come mostrano questi nuovi dati, non garantisce che gli aggressori se ne staranno alla larga.

Difese proattive che riducono il rischio ransomware

Se pagare non risolve il problema in modo affidabile, la via più sostenibile è ridurre le probabilità di una violazione riuscita in primo luogo. Diversi livelli difensivi emergono costantemente dai risultati della risposta agli incidenti come l'elemento discriminante tra un incidente contenuto e uno catastrofico.

La segmentazione della rete limita la capacità di movimento di un aggressore una volta ottenuto un primo punto d'appoggio. Invece di un'unica rete piatta in cui una singola credenziale compromessa apre l'accesso a tutto, gli ambienti segmentati costringono gli aggressori a lottare per ogni centimetro aggiuntivo, facendo guadagnare ai difensori tempo per rilevare e rispondere.

I controlli di accesso zero-trust presuppongono che nessun utente o dispositivo sia automaticamente attendibile, nemmeno all'interno del perimetro aziendale. Ogni richiesta di accesso viene verificata, il che rende molto più difficile che le sole credenziali rubate possano sbloccare sistemi critici.

Backup affidabili, testati e offline rimangono una delle difese più efficaci contro i ransomware disponibili. I file crittografati cessano di essere un'arma di ricatto quando un'organizzazione può ripristinare le operazioni da backup puliti senza negoziare con nessuno. La parola chiave è testati: i backup che non sono stati verificati attraverso esercitazioni di ripristino reali spesso falliscono proprio nel momento di maggior bisogno.

L'autenticazione a più fattori, l'applicazione tempestiva di patch ai sistemi esposti su Internet e il monitoraggio continuo di movimenti laterali anomali completano la base di partenza che separa le organizzazioni che si riprendono rapidamente da quelle che finiscono per affrontare una seconda richiesta di estorsione.

Cosa dovrebbero fare le organizzazioni invece di pagare

Quando si verifica un incidente ransomware, l'istinto di pagare rapidamente per far sparire il problema è comprensibile, soprattutto sotto la pressione di clienti, autorità di regolamentazione o di un consiglio di amministrazione che chiede una rapida risoluzione. Ma i dati sulle estorsioni ripetute rendono chiaro che il pagamento non è una strategia d'uscita affidabile. È più utile per le organizzazioni coinvolgere tempestivamente le forze dell'ordine, ingaggiare professionisti della risposta agli incidenti in grado di valutare la reale portata dell'esposizione dei dati ed essere trasparenti con le parti interessate coinvolte, piuttosto che presumere che un pagamento silenzioso farà svanire il problema.

Cosa significa questo per te

Che tu gestisca l'IT per una piccola impresa o supervisioni la politica di sicurezza in un'organizzazione più grande, questi dati sono un chiaro segnale per riallocare le priorità. I fondi destinati a riserve per il pagamento di riscatti sono molto meglio spesi in progetti di segmentazione, implementazioni zero-trust e infrastrutture di backup testate regolarmente. Anche le polizze di cyber insurance e i contratti di risposta agli incidenti dovrebbero essere rivisti per garantire che diano priorità alla prevenzione e alla capacità di ripristino, invece di limitarsi a coprire un pagamento.

Per i singoli individui, il messaggio è simile su scala ridotta: password complesse e uniche, autenticazione a più fattori e backup regolari dei dispositivi personali e familiari riducono la possibilità che una singola infezione ransomware diventi un incubo ricorrente.

Azioni pratiche da intraprendere

  • Considera il pagamento del riscatto come ultima risorsa, non come piano di prima risposta; i dati mostrano che spesso non riesce a porre fine alla minaccia.
  • Investi nella segmentazione della rete in modo che un singolo account compromesso non possa esporre l'intero ambiente.
  • Adotta i principi zero-trust per gli accessi interni e remoti, verificando ogni richiesta invece di fidarti unicamente della posizione di rete.
  • Mantieni backup offline testati regolarmente, in modo che il ripristino non dipenda dalla negoziazione con i criminali.
  • Crea subito un piano di risposta agli incidenti, prima che si verifichi un attacco, così che le decisioni non vengano prese in preda al panico e sotto pressione.

L'aumento dei pagamenti ripetuti a fronte di estorsioni ransomware è un forte argomento per spostare le risorse dalla negoziazione reattiva alla difesa proattiva. Le organizzazioni che effettuano questo cambiamento ora si troveranno in una posizione di gran lunga migliore rispetto a quelle che sperano ancora che un singolo pagamento faccia sparire il problema.