Un nuovo sondaggio di settore aggiunge dati concreti a un avvertimento che i professionisti della sicurezza ripetono da anni: pagare un gruppo ransomware raramente risolve il problema, e spesso lo peggiora. Secondo quanto riportato sui risultati, le organizzazioni che pagano un riscatto affrontano una probabilità significativamente più alta di essere prese di mira di nuovo, a volte dagli stessi aggressori, in un lasso di tempo relativamente breve.
Il sondaggio si aggiunge a un crescente corpo di prove sul fatto che il pagamento di un ransomware non funziona come una transazione pulita. Al contrario, può segnalare ai gruppi criminali che un bersaglio è sia disposto che in grado di pagare, rendendo quell'organizzazione un obiettivo futuro più attraente anziché un caso chiuso.
Cosa ha scoperto il sondaggio
La ricerca evidenziata nei report indica uno schema preoccupante: una quota significativa di organizzazioni che hanno pagato una richiesta di riscatto è stata nuovamente estorta in seguito, attraverso minacce rinnovate da parte dell'aggressore originale o tramite un attacco successivo da parte di un gruppo diverso. Questo ciclo di estorsione ripetuta mina la logica di base che spesso guida le decisioni di pagamento in primo luogo, cioè l'idea che pagare risolva rapidamente un incidente e limiti ulteriori danni.
Invece, i dati suggeriscono che può accadere l'opposto. Gli aggressori possono conservare copie dei dati rubati anche dopo il pagamento del riscatto, e alcune vittime hanno segnalato di essere state contattate di nuovo con nuove richieste legate agli stessi file rubati. Altre sono state colpite da intrusioni del tutto nuove, il che suggerisce che pagare possa contrassegnare un'organizzazione come un bersaglio facile all'interno di reti criminali che condividono informazioni su quali vittime abbiano già pagato.
Perché il pagamento non garantisce il ripristino
Le agenzie governative e le coalizioni internazionali hanno ripetutamente scoraggiato i pagamenti di riscatto, sostenendo che il pagamento non garantisce il recupero dei dati, non garantisce la cancellazione delle informazioni rubate e finanzia direttamente l'ecosistema criminale dietro gli attacchi futuri. I dati più recenti del sondaggio rafforzano questa posizione con cifre concrete anziché semplici indicazioni politiche.
Questo crea un difficile dilemma per le organizzazioni che affrontano un incidente ransomware attivo. La pressione operativa, specialmente in settori come sanità, logistica o servizi finanziari, può spingere la dirigenza a pagare semplicemente per ripristinare i sistemi e limitare l'interruzione dell'attività. Ma i risultati del sondaggio suggeriscono che il sollievo a breve termine può avere un costo in termini di rischi a lungo termine, poiché pagare non rimuove i dati rubati dalla circolazione e potrebbe non prevenire un secondo attacco.
Le implicazioni più ampie per la privacy sono significative. Gli incidenti ransomware comportano sempre più spesso il furto di dati insieme alla cifratura, il che significa che le organizzazioni vittime, e per estensione i loro clienti o pazienti, affrontano l'esposizione indipendentemente dal fatto che venga pagato un riscatto. I dati personali sottratti durante un attacco possono essere venduti, diffusi o trattenuti per un secondo ciclo di estorsione anche dopo il pagamento, lasciando le persone coinvolte con poca visibilità su cosa sia accaduto alle loro informazioni. Questo fa parte di una tendenza più ampia in cui organizzazioni e governi sono alle prese con il modo in cui i dati personali vengono raccolti, archiviati ed esposti, una preoccupazione che riecheggia dibattiti in altre aree politiche, come il controllo sui requisiti della politica sui visti statunitensi per i profili social pubblici, dove le informazioni personali diventano soggette a nuove forme di accesso e rischio.
Cosa significa per te
Per i singoli consumatori, l'impatto diretto di una decisione di pagamento di un riscatto può sembrare lontano, ma non lo è. Molti attacchi ransomware prendono di mira organizzazioni che detengono dati personali: ospedali, scuole, rivenditori e fornitori di servizi. Che un riscatto venga pagato o meno, l'esposizione di nomi, indirizzi, dettagli finanziari o cartelle cliniche è spesso già in corso una volta che gli aggressori esfiltrano i dati. Pagare un riscatto non protegge necessariamente tali informazioni dal riapparire in seguito, attraverso una fuga di dati, una rivendita o un secondo tentativo di estorsione contro la stessa organizzazione.
Per le aziende e i decisori IT, i risultati del sondaggio rafforzano il concetto che il pagamento di un riscatto non dovrebbe essere trattato come una risoluzione garantita. La pianificazione del ripristino, la risposta agli incidenti e la comunicazione con le autorità di regolamentazione e i clienti interessati contano tanto, se non di più, della decisione di pagamento in sé.
Costruire una strategia di risposta più solida
Il messaggio coerente da parte di ricercatori di sicurezza, agenzie governative e ora anche da questo sondaggio è che la prevenzione e la preparazione sono più importanti del pagamento reattivo. Ciò significa mantenere backup offline, testare i piani di risposta agli incidenti prima che si verifichi un attacco e disporre di un protocollo chiaro per coinvolgere tempestivamente le forze dell'ordine, anziché trattare il pagamento come prima mossa predefinita.
Per i lettori comuni, il consiglio pratico è di rimanere vigili sulle notifiche di violazione da parte di qualsiasi organizzazione con cui si interagisce, poiché le conseguenze del ransomware possono colpire anche chi non vede mai i titoli dei giornali. Considerate l'uso di password forti e univoche per ogni account, l'attivazione dell'autenticazione a più fattori dove disponibile e il monitoraggio dei conti finanziari e sanitari per attività insolite dopo qualsiasi incidente segnalato.
Il ransomware non se ne andrà, e il dibattito sull'opportunità di pagare continuerà. Ma le crescenti prove che il pagamento spesso invita a una ripetizione dell'estorsione dovrebbero spingere sia le organizzazioni che gli individui verso un approccio più scettico e incentrato sulla preparazione, anziché considerare il pagamento del riscatto una soluzione rapida.
