Una nuova ricerca da Singapore lancia un monito scomodo alle aziende che valutano se pagare un riscatto ransomware: il pagamento spesso non pone fine al calvario. Secondo quanto riportato dal Singapore Business Review, il 50% delle organizzazioni locali colpite da attacchi di estorsione ha ceduto denaro agli aggressori, e una quota sorprendente di quelle vittime di ransomware che hanno pagato si è trovata in seguito a dover affrontare una seconda richiesta.

La scoperta smentisce la convinzione diffusa che pagare un riscatto sia un modo rapido per far sparire un problema costoso. Per molte organizzazioni, sembra sortire l'effetto opposto: segnala ai gruppi criminali che la vittima è sia disposta che in grado di pagare, rendendola un candidato ideale per un secondo round.

Cosa ha scoperto la ricerca

Il dato centrale dello studio è semplice ma fa riflettere. La metà delle organizzazioni di Singapore intervistate che hanno subito un attacco ransomware o di estorsione ha scelto di pagare gli aggressori. È una decisione presa lanciando una monetina, sotto una pressione enorme, con sistemi cifrati, operazioni bloccate e il danno reputazionale incombente che pesano sull'esito.

Ciò che rende questo insieme di dati particolarmente degno di nota è il seguito: una parte significativa di chi ha pagato non ha ottenuto la chiusura della vicenda. Ha invece ricevuto una seconda richiesta di estorsione, da parte dello stesso gruppo tornato per ottenere di più o di un altro attore che sfruttava lo stesso accesso o i dati trapelati. Questo schema non è esclusivo di Singapore. Risultati simili sono emersi altrove, compresa un'analisi che mostra come le gang di ransomware tornano a estorcere il 22% delle vittime che hanno già pagato, e una ricerca separata condotta in Nuova Zelanda ha rilevato che circa 1 pagamento di riscatto su 5 è stato tradito da aggressori che sono tornati a chiedere di più nonostante il pagamento ricevuto.

Nel loro insieme, questi dati dipingono un quadro coerente in mercati diversi: pagare un riscatto non garantisce in modo affidabile la sicurezza e, in un numero significativo di casi, può aumentare le probabilità di essere presi di nuovo di mira.

Perché gli aggressori tornano per avere di più

La logica comportamentale qui è semplice, se la si considera dal punto di vista del criminale. Una vittima che ha già pagato ha dimostrato tre cose preziose per un estorsore: ha denaro disponibile, ha deciso che pagare è preferibile all'alternativa e potrebbe non disporre delle difese tecniche per impedire un'intrusione ripetuta.

Le operazioni ransomware assomigliano sempre più ad aziende con le proprie metriche interne. Un cliente pagante, in parole povere, è un lead comprovato. Alcuni gruppi operano inoltre come affiliati o in franchising, il che significa che i dati o l'accesso alla rete di una vittima possono essere rivenduti o riutilizzati da un'organizzazione criminale completamente diversa, dando origine a una seconda richiesta che non ha nulla a che fare con il gruppo dietro il primo attacco. In entrambi i casi, la vittima si ritrova a sopportare il rischio due volte.

È proprio questa dinamica il motivo per cui le agenzie di cybersicurezza e i ricercatori mettono da tempo in guardia dal considerare il pagamento del riscatto come una risoluzione anziché un palliativo temporaneo e inaffidabile.

Oltre il pagamento del riscatto: costruire difese reali

Se il pagamento non è una soluzione garantita, su cosa dovrebbero concentrare le proprie energie le organizzazioni e gli individui? La risposta sta nel ridurre le probabilità di un attacco riuscito in primo luogo e nel limitare i danni quando questo si verifica.

Si inizia dalle basi: mantenere backup offline e testati, in modo che i dati cifrati possano essere ripristinati senza negoziare con gli aggressori. Significa anche rafforzare i controlli di accesso remoto, poiché credenziali compromesse e protocolli di desktop remoto esposti rimangono punti d'ingresso comuni per i gruppi ransomware. Cifrare il traffico sensibile e utilizzare connessioni VPN sicure e ben configurate per il lavoro remoto e ibrido può ridurre la superficie d'attacco su cui i criminali fanno affidamento per ottenere un punto d'appoggio iniziale. La formazione dei dipendenti per riconoscere i tentativi di phishing, che rimangono uno dei principali metodi di distribuzione dei payload ransomware, completa una strategia di difesa a più livelli che non dipende dalla speranza che gli aggressori mantengano la parola data.

Cosa significa per te

In particolare per le piccole e medie imprese, questa ricerca dovrebbe ridefinire la pianificazione della risposta agli incidenti. Se la tua organizzazione viene mai colpita da un ransomware, la decisione di pagare non dovrebbe essere trattata come una strategia di uscita pulita. Prevedi un budget e pianifica come se il pagamento potesse procurare solo un sollievo temporaneo, non una risoluzione permanente. Ciò significa disporre di un piano di risposta agli incidenti documentato, di una guida legale e normativa già pronta e della consapevolezza lucida che pagare potrebbe invitare a ulteriori attacchi anziché porvi fine.

Per gli individui e i lavoratori da remoto, il messaggio è più personale: i punti deboli sfruttati dagli aggressori, dal software non aggiornato alle connessioni non sicure, sono spesso prevenibili con una buona igiene di base piuttosto che con strumenti costosi.

Punti chiave

  • La metà delle organizzazioni di Singapore colpite da attacchi di estorsione ha pagato gli aggressori, secondo la nuova ricerca.
  • Una quota significativa di vittime di ransomware che hanno pagato ha comunque ricevuto una seconda richiesta di estorsione, riecheggiando risultati simili a livello globale.
  • Il pagamento dovrebbe essere considerato come ultima risorsa e non come una soluzione garantita a un attacco in corso.
  • Backup solidi, accesso remoto sicuro e consapevolezza del phishing riducono le probabilità di dover mai affrontare quella decisione.
  • Le organizzazioni dovrebbero pianificare la risposta agli incidenti partendo dal presupposto che gli aggressori possano tornare, anziché dare per scontato che il pagamento ponga fine alla minaccia.

In definitiva, la ricerca è un invito a spostare l'attenzione dalle decisioni di pagamento reattive alla prevenzione proattiva. Le aziende nella posizione migliore per superare un attacco ransomware sono quelle che non devono mai decidere se il pagamento valga il rischio.