Corea e Stati Uniti si muovono contro una minaccia ransomware in rapida crescita

Le autorità sudcoreane e statunitensi hanno annunciato uno sforzo congiunto per tracciare e contrastare la banda ransomware GUNRA, un gruppo che sta estendendo il proprio raggio d'azione ad aziende dei settori finanziario, sanitario e manifatturiero, sia in patria che all'estero. La collaborazione segnala che GUNRA è passata dall'essere un fastidio di nicchia della criminalità informatica a una minaccia abbastanza seria da giustificare un'attenzione internazionale coordinata, e solleva nuovi interrogativi su quanto le aziende e i consumatori siano preparati al tipo di esposizione dei dati in cui questo gruppo è specializzato.

Il metodo di GUNRA non è unico nel mondo del ransomware, ma è particolarmente dannoso. Gli investigatori affermano che il gruppo utilizza un approccio di "doppia estorsione": prima estrae i dati interni dell'azienda, poi cripta i file della vittima. Questo processo in due fasi significa che anche le organizzazioni con solidi sistemi di backup, che potrebbero altrimenti recuperare i file criptati senza pagare, subiscono comunque pressioni per pagare, perché i dati rubati potrebbero essere diffusi o venduti indipendentemente dal ripristino dei sistemi.

Il manuale della doppia estorsione e la vetrina del dark web

Ciò che rende GUNRA particolarmente preoccupante dal punto di vista della privacy è quanto pubblicamente operi. Secondo gli investigatori, il gruppo gestisce un proprio sito sul dark web dove pubblica elenchi di aziende vittime insieme a porzioni del materiale rubato. Questo serve sia come tattica di pressione che come una sorta di dimostrazione di efficacia per le vittime future: paga, oppure i tuoi dati si aggiungono alla lista. Per qualsiasi azienda i cui registri dei clienti, file dei dipendenti o informazioni sanitarie finiscano in quel materiale pubblicato, il danno si estende ben oltre la violazione originale. Una volta che i dati vengono copiati su un server controllato dai criminali, non c'è modo di garantire che rimangano contenuti, che il riscatto venga pagato o meno.

Questo schema riecheggia una tendenza più ampia che si è manifestata di recente in Corea del Sud. La violazione dei dati di Coupang ha messo in luce quanto rapidamente un singolo fallimento della sicurezza aziendale possa trasformarsi in una questione di rilevanza nazionale, soprattutto quando l'azienda coinvolta gestisce i dati di decine di milioni di persone. Le autorità di regolamentazione hanno fatto seguito a quell'incidente con una multa record di 409 milioni di dollari contro Coupang, sottolineando che le autorità sudcoreane sono sempre più disposte a trattare i fallimenti nella protezione dei dati come gravi questioni normative, e non solo come incidenti tecnici.

Perché la cooperazione internazionale è importante

Le bande ransomware come GUNRA raramente operano entro i confini di un singolo paese. Le vittime possono essere sparse in diversi continenti, l'infrastruttura è spesso ospitata in giurisdizioni con una cooperazione limitata da parte delle forze dell'ordine e i criminali dietro queste operazioni nascondono frequentemente identità e luoghi. È proprio per questo che le indagini congiunte tra paesi come la Corea del Sud e gli Stati Uniti sono importanti: mettere in comune l'intelligence, condividere gli indicatori di compromissione e coordinare le azioni repressive offre agli investigatori maggiori possibilità di identificare le persone e l'infrastruttura dietro un'operazione.

Questo tipo di sforzo transfrontaliero per smascherare i colpevoli ha dei precedenti. In passato i ricercatori hanno lavorato per identificare gli individui e le organizzazioni dietro altre minacce informatiche persistenti, come quando Intrusion Truth ha smascherato un nuovo contractor informatico cinese legato ad attività di hacking collegate allo stato. Questi sforzi dimostrano che un'indagine paziente e collaborativa, condotta da agenzie governative o da ricercatori indipendenti, può erodere l'anonimato da cui i gruppi ransomware e di spionaggio dipendono.

Cosa significa per te

Se lavori per un'azienda nei settori finanziario, sanitario o manifatturiero, o se sei cliente di una di queste, la situazione di GUNRA ricorda che il ransomware oggi è fondamentalmente un problema di privacy dei dati, non solo un problema di interruzione IT. La doppia estorsione significa che le tue informazioni personali possono essere esposte anche quando un'azienda gestisce un attacco rapidamente e con competenza dal punto di vista tecnico.

Per i singoli individui, questo si traduce in alcune abitudini pratiche: monitorare gli account collegati alle aziende con cui si hanno rapporti per attività insolite, utilizzare password univoche per servizi diversi in modo che una singola credenziale trapelata non si propaghi a cascata su tutti gli account, e prestare attenzione alle notifiche di violazione invece di ignorarle come routine. Per le aziende, il caso rafforza l'importanza di considerare che la vera minaccia sono i dati rubati, non solo i sistemi bloccati, il che cambia il modo in cui dovrebbero essere prioritizzate la risposta agli incidenti e la gestione del rischio dei fornitori.

Stare un passo avanti al rischio ransomware

L'azione congiunta contro la banda ransomware GUNRA è un segnale positivo che le autorità stanno trattando i gruppi di doppia estorsione come una priorità e non come una minaccia di sottofondo. Ma le indagini richiedono tempo, e la pratica del gruppo di pubblicare sul dark web significa che i danni possono verificarsi ben prima di qualsiasi risultato repressivo. I lettori dovrebbero interpretare questo come un ulteriore segnale per rafforzare l'igiene della sicurezza personale e aspettarsi un maggiore controllo su come le aziende proteggono i dati che raccolgono. Rimanere informati sugli sviluppi del ransomware come questo è uno dei modi più semplici per essere un passo avanti alla prossima notifica di violazione nella propria casella di posta.