Perché gli attacchi ransomware oggi si concentrano sul furto di dati, non sulla crittografia

Per anni, il copione standard del ransomware era semplice: irrompere, crittografare i file, chiedere un riscatto per la chiave di decrittazione. I backup erano la risposta. Ripristinare i sistemi, ignorare la richiesta di riscatto, andare avanti. Quel copione è in gran parte superato.

I gruppi ransomware di oggi si sono adattati al fatto che molte organizzazioni riescono a riprendersi dalla crittografia senza problemi. Hanno quindi spostato la leva. Prima di bloccare qualsiasi cosa, gli attaccanti ora copiano silenziosamente file sensibili, registri finanziari, dati dei dipendenti, informazioni sui clienti, al di fuori della rete. La crittografia è diventata quasi secondaria, a volte del tutto saltata. La vera minaccia è un sito pubblico di leak dove i dati rubati vengono pubblicati se non si paga. Questa è la minaccia di estorsione di dati ransomware che i ricercatori di sicurezza stanno seguendo da vicino, e cambia il significato concreto di “essere preparati” per organizzazioni di ogni dimensione.

Il fenomeno non è limitato a una singola regione o settore. Un rapporto sugli incidenti ransomware in India, per esempio, ha rilevato che la maggior parte degli attacchi coinvolge ora il furto di dati piuttosto che la pura crittografia, secondo l'analisi di Proofpoint sull'attività ransomware in quel paese. La stessa dinamica si sta verificando più vicino a noi, inclusa l'area metropolitana di St. Louis.

Cosa si sa degli incidenti nell'area di St. Louis

Secondo quanto riportato da CHR Solutions, una società IT e di cybersicurezza con sede a St. Louis, il ransomware ha colpito sistemi scolastici, reti cittadine e imprese locali nell'area metropolitana solo negli ultimi mesi. L'azienda, che lavora direttamente con le organizzazioni regionali per chiudere le falle di sicurezza, presenta la situazione come un problema locale e ricorrente, non come un titolo lontano. I dettagli specifici sui singoli incidenti sono limitati nei report disponibili, ma lo schema descritto rispecchia ciò che accade a livello nazionale: le reti del settore pubblico e le piccole e medie imprese sono bersagli frequenti, spesso perché dispongono di meno risorse di sicurezza dedicate rispetto alle grandi aziende.

I distretti scolastici e le reti comunali sono obiettivi particolarmente allettanti per gli attacchi basati sull'estorsione. Detengono grandi quantità di dati personali, compresi i registri di studenti, dipendenti e residenti, e spesso subiscono pressioni per evitare interruzioni, il che può renderli più propensi a negoziare. Quando gli attaccanti sanno che la leva non è solo “puoi funzionare senza i tuoi file”, ma “puoi permetterti che questi dati vengano pubblicati”, la pressione a pagare aumenta notevolmente.

Come la doppia estorsione cambia i calcoli per le piccole e medie imprese

La doppia estorsione, ovvero crittografare i sistemi minacciando al contempo di diffondere i dati rubati, cambia radicalmente l'equazione del rischio per le organizzazioni più piccole. Un'azienda con backup solidi e testati un tempo aveva un percorso chiaro verso il ripristino: recuperare e ricostruire. Ma i backup non impediscono a un sito di leak di pubblicare contratti dei clienti, codici fiscali dei dipendenti o dati aziendali proprietari.

Questo è estremamente importante per le piccole e medie imprese che possono pensare che i backup da soli costituiscano una difesa contro il ransomware. Un esempio recente di come queste minacce di leak si concretizzano nella pratica riguarda l'attacco rivendicato dal gruppo ransomware Play ai danni di Kreysler & Associates, in cui il gruppo ha seguito il suo tipico modello operativo minacciando di pubblicare i dati rubati anziché basarsi esclusivamente sulla crittografia per forzare il pagamento. Casi come questo dimostrano che la leva negoziale in mano agli attaccanti è passata da “abbiamo bloccato i tuoi sistemi” a “abbiamo i tuoi dati e li rilasceremo pubblicamente”. Si tratta di un rischio reputazionale, legale e normativo che il semplice ripristino da backup non può risolvere.

Per le organizzazioni più piccole senza team di sicurezza dedicati, questo cambiamento significa che la pianificazione della risposta agli incidenti deve tenere conto di scenari di esposizione dei dati, non solo di tempi di inattività dei sistemi.

Passi concreti di rafforzamento per affrontare il rischio di estorsione

I backup rimangono essenziali, ma da soli non sono più sufficienti. Le organizzazioni che intendono seriamente ridurre il rischio di estorsione dovrebbero concentrarsi su alcune aree che vanno oltre il tradizionale disaster recovery:

  • Limitare ciò che gli attaccanti possono rubare. Ridurre la conservazione dei dati dove possibile e segmentare le reti in modo che un singolo account compromesso non dia accesso a tutto.
  • Monitorare l'esfiltrazione, non solo la crittografia. Strumenti di rilevamento che segnalano trasferimenti anomali di dati in uscita possono individuare un attacco prima che i file lascino la rete, spesso prima di quanto farebbe un monitoraggio incentrato solo sulla crittografia.
  • Rafforzare i controlli sulle identità. L'autenticazione a più fattori e una gestione rigorosa degli account privilegiati restano tra le barriere più efficaci contro l'accesso iniziale di cui gli attaccanti hanno bisogno per rubare i dati.
  • Costruire un piano di risposta agli incidenti che affronti le minacce di leak. Le procedure di notifica legale, di comunicazione e normativa dovrebbero essere definite prima di un attacco, non durante.

Cosa significa per te

Se il piano ransomware della tua organizzazione è ancora incentrato principalmente sulle procedure di backup e ripristino, sta affrontando la minaccia di ieri. La minaccia di estorsione di dati ransomware fa sì che il vero rischio sia spesso ciò che gli attaccanti hanno già copiato prima ancora che tu notassi il problema. Questo vale sia che tu sia un distretto scolastico, un ufficio comunale o una piccola impresa che gestisce dati dei clienti. Dare per scontato di essere troppo piccoli per essere un bersaglio non è più una scommessa sicura; le organizzazioni più piccole vengono spesso scelte proprio perché hanno meno difese.

Punti chiave

  • Gli attacchi ransomware danno sempre più priorità al furto di dati e alle minacce di leak rispetto alla semplice crittografia, uno schema osservato sia a livello regionale che internazionale.
  • Recuperare dalla crittografia con i backup non elimina il rischio che i dati rubati vengano pubblicati.
  • Le organizzazioni di piccole e medie dimensioni, incluse scuole e reti comunali, restano bersagli frequenti a causa delle limitate risorse di sicurezza.
  • Una difesa efficace richiede ora il monitoraggio dell'esfiltrazione dei dati, un rafforzamento dei controlli di accesso e la pianificazione della risposta agli incidenti attorno alla possibilità di un leak pubblico, non solo al tempo di inattività dei sistemi.