Un avviso congiunto dell'FBI, della CISA e delle agenzie dell'UE ha messo sotto i riflettori il gruppo ransomware SafePay, con Stati Uniti, Regno Unito e Germania indicati come obiettivi della campagna globale del gruppo. Il dettaglio chiave per gli utenti comuni e le piccole imprese: gli attaccanti prendono di mira i backup. Questo rende la protezione dei backup dal ransomware SafePay una questione più ampia rispetto al semplice avere una seconda copia dei propri file.

L'articolo originale è breve, quindi questo post si concentra su ciò che l'avviso segnala e sulle misure pratiche che puoi adottare. Dove descriviamo il comportamento tipico degli attaccanti, esso riflette le segnalazioni pubbliche generali su SafePay e le pratiche comuni del ransomware.

Cosa fa il ransomware SafePay e chi viene preso di mira

SafePay è un gruppo ransomware, ovvero viola le reti, blocca i dati e chiede un pagamento per ripristinare l'accesso. I rapporti pubblici sulle minacce lo descrivono come un'operazione di doppia estorsione: gli attaccanti copiano i dati dai sistemi della vittima prima di crittografarli, poi chiedono il pagamento in criptovaluta. La minaccia consiste sia nella perdita dell'accesso sia nella fuga di file sensibili.

L'avviso congiunto descrive una campagna globale, e le agenzie coinvolte coprono Stati Uniti, Regno Unito e Germania. I gruppi ransomware raramente si limitano alle grandi aziende. Piccole imprese, cliniche, scuole e uffici locali spesso hanno dati di valore ma difese più deboli, il che li rende attraenti. Anche i privati con dispositivi di archiviazione in rete a casa o in un ufficio domestico possono essere esposti.

Le segnalazioni pubbliche su SafePay indicano che i suoi operatori entrano tipicamente rubando o indovinando le password e sfruttando le vulnerabilità nei sistemi di sicurezza. Nulla di tutto ciò è esotico, ed è per questo che le basi contano così tanto.

Perché gli attaccanti prendono di mira prima i backup

I backup sono la rete di sicurezza. Se una vittima può ripristinare da una copia pulita, la richiesta di riscatto perde gran parte della sua leva. Per questo gli attaccanti che lo comprendono cercano di rimuovere la rete prima di premere il grilletto. Eliminare, crittografare o corrompere prima i backup significa che, quando appare la nota di riscatto, le opzioni di ripristino sono già scomparse.

Questo è il cambiamento da assimilare. Molte persone pensano a un backup come a qualcosa che semplicemente esiste. In pratica, un backup raggiungibile dalla tua rete principale, con le stesse credenziali di accesso, può essere trovato e distrutto da chiunque ottenga quell'accesso. Una copia che si trova su un'unità collegata permanentemente al computer, o una cartella cloud che si sincronizza automaticamente, potrebbe essere crittografata insieme a tutto il resto.

Come proteggere i backup: copie offline, immutabilità e crittografia

Una buona protezione dei backup dal ransomware SafePay inizia assumendo che un attaccante prima o poi avrà accesso ai tuoi sistemi principali, per poi assicurarti che i tuoi backup sopravvivano a quello scenario. Tre idee aiutano:

  • Mantieni una copia offline o isolata. Un'unità esterna scollegata dopo ogni backup non può essere crittografata da remoto. Per le aziende, questo significa copie non raggiungibili continuamente dalla rete di produzione.
  • Usa backup immutabili. L'immutabilità significa che un backup non può essere modificato o eliminato per un periodo prestabilito, nemmeno da un account amministratore. Molti strumenti di backup e servizi di archiviazione cloud lo offrono come impostazione. Se un attaccante ruba le credenziali di amministratore, le copie bloccate rimangono intatte.
  • Crittografa i tuoi backup. La crittografia non impedirà a un attaccante di eliminare i dati, ma protegge i contenuti se una copia viene rubata. Questo conta in un caso di doppia estorsione, dove la fuga di dati fa parte della pressione.

Due abitudini di supporto sono altrettanto importanti. Usa credenziali separate per i sistemi di backup, idealmente protette con l'autenticazione a più fattori, così una password quotidiana rubata non li sblocca. E verifica regolarmente i ripristini. Un backup che non hai mai ripristinato è un'assunzione, non un piano.

Difese di base che fermano l'intrusione iniziale

Proteggere i backup è l'ultima linea di difesa. Il risultato migliore è tenere fuori gli attaccanti. Poiché le segnalazioni indicano password rubate o indovinate e vulnerabilità sfruttate, le difese più utili sono quelle meno appariscenti:

  • Abilita l'autenticazione a più fattori su email, accesso remoto, account cloud e console di backup.
  • Usa password forti e uniche memorizzate in un gestore di password, così una credenziale compromessa non apre più porte.
  • Applica le patch tempestivamente, soprattutto ai sistemi esposti a Internet come firewall, strumenti di accesso remoto e software di backup. Le falle note non corrette sono una via d'ingresso comune.
  • Limita l'accesso remoto. Disattiva i servizi che non usi e limita chi può raggiungere gli altri.

Una VPN può aiutare a proteggere le connessioni remote a una rete di lavoro, ma non sostituisce l'applicazione delle patch e l'MFA, e non proteggerà i backup da sola.

Cosa significa per te

La natura internazionale di questo avviso merita attenzione. I governi che cooperano oltre i confini sulle minacce informatiche non sono una novità; alleanze come Five Eyes e le più ampie Fourteen Eyes sono note per la condivisione di intelligence, sebbene quegli accordi riguardino dati di sorveglianza e siano una questione separata da questo avviso ransomware. Il messaggio per i lettori è più semplice: quando più agenzie emettono un avviso condiviso, la minaccia è ampia e non limitata a una sola regione o settore.

Per i privati, questo significa verificare se i tuoi backup sono davvero separati dal tuo computer. Per le piccole imprese, significa chiedersi chi può eliminare i tuoi backup e se quell'account è protetto dall'MFA.

Punti di azione concreti

La protezione dei backup dal ransomware SafePay si riduce a un breve audit che puoi completare questa settimana:

  1. Controlla la configurazione dei tuoi backup. Hai almeno una copia offline o immutabile?
  2. Separa le credenziali. Assicurati che l'accesso ai backup utilizzi login diversi dagli account quotidiani.
  3. Attiva l'MFA ovunque sia offerta, iniziando da email, accesso remoto e strumenti di backup.
  4. Installa gli aggiornamenti in sospeso, dando priorità a firewall, software di accesso remoto e applicazioni di backup.
  5. Prova un ripristino di alcuni file per confermare che i backup funzionino davvero.

Nessuno di questi passaggi è complicato, e insieme tolgono la leva su cui i gruppi ransomware fanno affidamento. Inizia oggi con l'audit.