Quasi la metà paga ancora, ma prima contratta

Un nuovo rapporto in circolazione dipinge un quadro familiare ma scomodo: quasi la metà delle organizzazioni colpite dalla cifratura ransomware finisce per pagare il riscatto. La novità è che circa la metà di queste vittime non si limita a consegnare l'intera somma richiesta. Invece, negoziano, spesso ottenendo che gli aggressori accettino meno del prezzo originariamente richiesto prima di sbloccare i file cifrati.

A prima vista, potrebbe sembrare una piccola vittoria per le vittime. Riuscire a far abbassare il prezzo a un gruppo criminale dà la sensazione di una piccola conquista in una situazione altrimenti negativa. Ma la questione più ampia non riguarda chi è più bravo a contrattare. Riguarda cosa significa che il pagamento del riscatto, e la negoziazione con i criminali, siano diventati una parte normalizzata della risposta agli attacchi informatici da parte delle organizzazioni.

Perché le aziende pagano invece di rinunciare

Il ransomware funziona cifrando i file e i sistemi di un'organizzazione, rendendoli inutilizzabili fino a quando non viene fornita una chiave di decrittazione, solitamente in cambio di un pagamento. Per le aziende senza backup solidi, o per quelle che subiscono pressioni per ripristinare rapidamente le operazioni, pagare può sembrare il modo più veloce per tornare alla normalità. Questo calcolo diventa ancora più facile da giustificare quando l'aggressore è disposto a scendere di prezzo, cosa che il rapporto suggerisce accada spesso.

Questa dinamica di negoziazione non è nuova nell'economia del ransomware. Molte operazioni ransomware oggi funzionano come aziende, complete di chat di supporto, portali di pagamento e, sì, margine di negoziazione. Questa professionalizzazione è uno dei motivi per cui pagare è diventato un esito così comune anziché un'ultima risorsa.

Ma pagare non garantisce una risoluzione pulita. Anche quando il riscatto viene pagato e una chiave di decrittazione viene consegnata, non c'è garanzia che gli aggressori non abbiano già copiato i dati sensibili prima di cifrarli. Questo è un dettaglio cruciale spesso trascurato nelle discussioni sulle negoziazioni del riscatto: il pagamento riguarda solitamente il ripristino dell'accesso ai file, non l'annullamento di una violazione che potrebbe essere già avvenuta.

Il rischio per la privacy nascosto dietro ogni pagamento di riscatto

È qui che la storia si collega a un problema di privacy molto più grande. Gli attacchi ransomware coinvolgono sempre più spesso il furto di dati insieme alla cifratura, il che significa che gli aggressori esfiltrano copie di file sensibili prima di bloccare gli originali. Un report correlato ha rilevato che il 49% delle vittime di ransomware perde i dati prima di rilevare l'attacco, il che significa che quando arriva la richiesta di riscatto, il danno ai dati personali e organizzativi potrebbe essere già stato fatto.

Questo dettaglio è estremamente importante per chiunque abbia informazioni personali all'interno dei sistemi di un'organizzazione, che si tratti di un datore di lavoro, un fornitore di servizi sanitari, una scuola o un rivenditore online. Una negoziazione riuscita sull'importo del riscatto non annulla un furto di dati già avvenuto. Inoltre, non impedisce agli aggressori di vendere o divulgare quei dati in seguito, indipendentemente dal fatto che il riscatto sia stato pagato per intero, negoziato al ribasso o rifiutato del tutto.

Pagare un riscatto, anche ridotto, rischia inoltre di rafforzare il modello di business stesso. Ogni pagamento andato a buon fine, negoziato o meno, segnala agli aggressori che il ransomware rimane redditizio, mantenendo intatta la struttura di incentivi per futuri attacchi contro altre organizzazioni.

Cosa significa per te

La maggior parte delle persone che legge le statistiche sui pagamenti ransomware non è quella che decide se pagare. Questa decisione spetta di solito alla direzione IT, ai dirigenti o ai team di risposta agli incidenti. Ma le conseguenze si ripercuotono su dipendenti, clienti e chiunque abbia dati all'interno dei sistemi colpiti.

Se ricevi una notifica di violazione da un'azienda che ha subito un attacco ransomware, prendila sul serio indipendentemente dal fatto che la notizia menzioni il pagamento di un riscatto. Il furto di dati può avvenire prima ancora che inizi la cifratura, quindi un riscatto pagato e un sistema ripristinato non significano necessariamente che le tue informazioni siano al sicuro. Fai attenzione ai segnali di furto d'identità, monitora i tuoi account e prendi in considerazione il monitoraggio del credito se l'organizzazione lo offre a seguito di un incidente.

Per le aziende e i team IT, la tendenza alla negoziazione è un promemoria del fatto che la pianificazione della risposta deve tenere conto dell'esposizione dei dati, non solo dei tempi di inattività del sistema. I backup aiutano a evitare di pagare per una chiave di decrittazione, ma non impediscono che i dati rubati vengano divulgati o venduti se gli aggressori li hanno già esfiltrati in precedenza.

Punti chiave operativi

  • Non dare per scontato che un riscatto pagato significhi che i tuoi dati non siano mai stati copiati o esposti; chiedi direttamente alle organizzazioni interessate cosa è stato confermato come rubato.
  • Monitora gli account e l'attività creditizia dopo qualsiasi notifica di violazione, anche se l'azienda afferma che il riscatto è stato risolto.
  • Se gestisci un'azienda, dai priorità al rilevamento precoce e alla segmentazione della rete in modo che gli aggressori abbiano meno tempo per esfiltrare i dati prima che la cifratura colpisca.
  • Comprendi che la negoziazione del riscatto riduce i costi, non il rischio; l'esposizione dei dati rubati rimane una minaccia separata e duratura.

Le tendenze dei pagamenti ransomware continueranno probabilmente a fare notizia man mano che sempre più organizzazioni valutano il costo del pagare rispetto al costo della ricostruzione. Ma per gli utenti comuni, il vero insegnamento non riguarda le tattiche di negoziazione. Si tratta di rimanere vigili su ciò che accade ai propri dati molto tempo dopo che i titoli sul pagamento del riscatto sono svaniti.