Il vero motore di profitto dei ransomware non è la cifratura

Per anni la difesa contro i ransomware si è concentrata su un solo istante: il momento in cui i file vengono bloccati. Ma nuovi dati ripresi da The National CIO Review mostrano chiaramente che la cifratura è spesso la parte meno preziosa di un attacco ransomware per i criminali che lo conducono. Il vero guadagno arriva dal furto di dati, e quel guadagno non si ferma quando il riscatto viene pagato o i sistemi vengono ripristinati.

Secondo il report, il 54% delle organizzazioni colpite ha pagato un riscatto. Di per sé non sorprende, considerando quanto possano essere dirompenti i sistemi cifrati. Ciò che colpisce è quello che è successo dopo: il 37% delle organizzazioni che hanno pagato ha poi ricevuto un’altra richiesta dallo stesso attaccante o da uno diverso. In altre parole, più di un terzo delle vittime che pensavano di aver chiuso l’incidente si sono ritrovate al punto di partenza, a negoziare di nuovo sugli stessi dati rubati.

Perché i dati rubati continuano a fruttare agli attaccanti

Quando gli attaccanti sottraggono i dati prima di attivare la cifratura, ottengono flussi di entrate multipli e separati che non dipendono dal fatto che i sistemi della vittima restino bloccati. Il report ne delinea diversi:

  • Minacce di diffusione pubblica: gli attaccanti minacciano di pubblicare file sensibili se non viene effettuato un secondo pagamento, anche dopo il riscatto originario per le chiavi di decifratura.
  • Rivendita dei dati rubati: le informazioni vengono vendute sui mercati criminali ad altri attori della minaccia, indipendentemente dal pagamento della vittima originaria.
  • Abuso di credenziali: nomi utente, password e token di accesso trovati nei file rubati vengono riutilizzati per compromettere altri account o sistemi, a volte presso organizzazioni partner o fornitori.
  • Attacchi successivi: i dettagli raccolti da una violazione, come diagrammi di rete, contratti con fornitori o comunicazioni interne, rendono le intrusioni future più facili e mirate.

È per questo che i ricercatori di sicurezza descrivono sempre più spesso i ransomware moderni come un problema di furto di dati a cui è stata aggiunta la cifratura, anziché il contrario. La cifratura interrompe le operazioni per giorni o settimane. I dati rubati possono essere usati come arma per mesi o anni.

Un esempio recente di questa dinamica emersa pubblicamente riguarda la violazione di Tata Electronics che ha fatto trapelare i segreti di iPhone 18 Pro, in cui un gruppo ransomware che si fa chiamare World Leaks ha pubblicato informazioni sensibili su prodotti non ancora rilasciati dopo aver avuto accesso ai sistemi interni. Casi come questo mostrano come i dati aziendali rubati mantengano valore per gli attaccanti ben oltre l’intrusione iniziale, e come le sole minacce di divulgazione possano costringere le organizzazioni a decisioni difficili anche senza un carico di cifratura funzionante.

Perché pagare non garantisce che la vicenda sia conclusa

La cifra del 37% di richieste reiterate merita particolare attenzione perché mina un presupposto comune: che pagare un riscatto chiuda l’incidente. In realtà, una volta che i dati hanno lasciato la rete dell’organizzazione, la vittima non ha modo di verificare che le copie siano state distrutte, che l’attaccante non rivenda le informazioni o che un altro gruppo non abbia già ottenuto gli stessi file. Pagare risolve il problema della cifratura. Non fa nulla per affrontare il problema del furto di dati, perché quei dati sono già fuori dal controllo della vittima nel momento stesso in cui vengono esfiltrati.

Questo ha implicazioni dirette su come le organizzazioni pensano alla preparazione contro i ransomware. Pianificare backup e ripristino serve a rimettere in linea i sistemi, ma non fa nulla per prevenire una fuga di dati, una rivendita o un secondo tentativo di estorsione. Impedire l’esfiltrazione a monte, attraverso la segmentazione della rete, controlli di accesso rigorosi e riducendo al minimo la quantità di dati sensibili archiviati o raggiungibili, è importante quanto la pianificazione del ripristino.

Cosa significa per te

Che tu stia gestendo l’IT per una piccola impresa o semplicemente proteggendo i tuoi account personali, la lezione che arriva da questi dati è la stessa: parti dal presupposto che qualsiasi violazione che coinvolga le tue informazioni possa comportare un’esposizione continuativa, non un incidente isolato. Se un’azienda con cui interagisci comunica un attacco ransomware, consideralo un rischio aperto nel tempo. Password riutilizzate, vecchie credenziali di account e dati personali collegati a quella violazione possono ricomparire in tentativi di credential stuffing o in truffe successive molto tempo dopo che le notizie sono sparite dai titoli.

Per le organizzazioni, il messaggio è considerare la minimizzazione dei dati e la segmentazione della rete come difese fondamentali contro i ransomware, e non come pensieri accessori. Limitare quali dati sensibili sono accessibili da un singolo punto compromesso riduce la quantità di informazioni che gli attaccanti possono rubare anche se riescono a entrare.

Consigli pratici

  • Usa password uniche per ogni account e aggiornale se vieni informato di una violazione che coinvolge i tuoi dati, anche a distanza di mesi.
  • Attiva l’autenticazione a più fattori ovunque possibile per ridurre il valore delle credenziali rubate.
  • Se gestisci un’azienda, verifica quali dati sensibili sono archiviati e chi può accedervi; meno dati esposti significa meno leve per gli attaccanti.
  • Non dare per scontato che un incidente ransomware sia chiuso una volta pagato il riscatto o ripristinati i sistemi. Monitora eventuali segnali di dati trapelati o nuovi tentativi di estorsione.
  • Segmenta le reti in modo che un singolo dispositivo o account compromesso non possa esporre l’intero ambiente di dati.

Il vantaggio più grande dei ransomware non è la cifratura che finisce sotto i riflettori. È il furto di dati che avviene silenziosamente in anticipo e continua a generare valore per gli attaccanti molto tempo dopo che la crisi iniziale sembra risolta.