Studio: il 37% delle vittime di ransomware colpite da una seconda richiesta

Pagare gli hacker del ransomware non garantisce la pace

Le organizzazioni che pagano un riscatto ransomware sperando di far sparire il problema potrebbero voler riconsiderare questa strategia. Una nuova ricerca riportata da TechRadar ha scoperto che mentre il 56% delle vittime che hanno pagato un riscatto ha riottenuto l'accesso ai propri sistemi, più di un terzo, il 37%, è stato colpito da una seconda richiesta di estorsione poco dopo aver effettuato il primo pagamento. Un altro 2% ha pagato e non ha mai recuperato affatto i propri dati.

I risultati mettono in discussione un presupposto comune secondo cui pagare un riscatto ransomware sia una transazione semplice: paghi, ottieni una chiave di decrittazione, vai avanti. Invece, i dati suggeriscono che per una quota significativa di vittime, il primo pagamento viene trattato dagli aggressori come una mossa di apertura anziché come una risoluzione. Questo è in linea con quanto emerso da altre ricerche recenti. Un report separato sul ransomware ha rilevato che quasi la metà delle organizzazioni paga, poi negozia, rafforzando l'idea che i pagamenti ransomware raramente siano un costo una tantum netto e definito.

Perché gli hacker tornano a chiedere di più

La logica dietro un tentativo di estorsione ripetuto è semplice dal punto di vista dell'aggressore. Se un'organizzazione vittima ha già dimostrato disponibilità e capacità di pagare, quell'organizzazione diventa un bersaglio più attraente per richieste successive. I gruppi ransomware sanno che le aziende sotto pressione per ripristinare le operazioni, proteggere i dati dei clienti o evitare sanzioni normative sono spesso disposte a pagare di nuovo piuttosto che rischiare tempi di inattività prolungati o la divulgazione pubblica di una violazione.

La ricerca evidenzia anche un'altra complicazione nel processo di negoziazione del riscatto: la flessibilità del prezzo. Gli esperti citati nel report notano che gli operatori ransomware abbassano frequentemente la loro richiesta iniziale, con alcuni sconti che raggiungono fino al 96% del prezzo originario richiesto. Non si tratta di generosità. Riflette una strategia negoziale in cui la prima cifra è deliberatamente gonfiata e il vero obiettivo è semplicemente estorcere un qualche pagamento, qualsiasi pagamento, alla vittima. Comprendere questa dinamica è importante perché dimostra che le richieste di riscatto non sono prezzi fissi stabiliti da un mercato razionale. Sono offerte di apertura in una trattativa pensata per massimizzare ciò che un'organizzazione già sotto stress è disposta a pagare.

Considerati insieme, le richieste iniziali gonfiate, gli sconti consistenti e lo schema di estorsione ripetuta dipingono l'immagine di un ecosistema costruito sulla leva del ricatto piuttosto che su uno scambio equo. Una volta che la vittima paga, gli aggressori hanno la prova che la pressione funziona, e quel dato può essere riutilizzato, sia contro la stessa organizzazione sia condiviso negli ambienti criminali come evidenza che un bersaglio merita di essere perseguito.

Cosa significa questo per te

Per singoli individui, piccole imprese e grandi aziende, il punto non è che i riscatti non debbano mai essere pagati in nessuna circostanza (è una decisione che ogni organizzazione deve valutare in base alla propria tolleranza al rischio e agli obblighi legali). Piuttosto, il punto è che il pagamento non dovrebbe mai essere trattato come una soluzione garantita. Chiunque stia considerando di pagare un riscatto deve prevedere la possibilità che non sarà l'ultima richiesta e che il recupero dei dati non è assicurato neppure dopo il passaggio di denaro.

Questo è particolarmente rilevante per le organizzazioni più piccole e per gli individui che potrebbero non disporre di team dedicati alla risposta agli incidenti. Lo stesso report sul ransomware che mostra vittime che pagano e poi negoziano di nuovo sottolinea che anche le aziende con più risorse faticano a chiudere la vicenda dopo un attacco. Senza il supporto professionale nella risposta agli incidenti, le probabilità di un esito favorevole dopo il pagamento non sono necessariamente migliori per i bersagli più piccoli.

L'implicazione pratica è che la prevenzione e la preparazione contano molto più dell'abilità negoziale a posteriori. Backup affidabili e offline, procedure di ripristino testate e una solida sicurezza degli endpoint riducono la leva che gli aggressori hanno in primo luogo. Se un'organizzazione non deve mai prendere in considerazione l'idea di pagare perché può ripristinare dai backup, l'intero ciclo di estorsione, incluso il rischio di una seconda richiesta, diventa irrilevante.

Misure attuabili

Alcuni passi concreti possono ridurre l'esposizione al ransomware e al ciclo di estorsione che ne consegue:

• Mantieni backup regolari e testati, archiviati offline o in un ambiente separato e isolato, in modo che il ripristino non dipenda dalla collaborazione degli aggressori.
• Tratta qualsiasi pagamento di riscatto come una decisione aziendale con il rischio reale di richieste successive, non come una risoluzione garantita.
• Coinvolgi le forze dell'ordine e professionisti esperti nella risposta agli incidenti prima di prendere decisioni di pagamento, poiché spesso hanno conoscenza dei precedenti di un gruppo di aggressori.
• Investi nell'igiene di base della sicurezza, che include l'applicazione di patch, l'autenticazione a più fattori e la segmentazione della rete, per ridurre la probabilità di cadere vittima in primo luogo.

In definitiva, questa ricerca ricorda che un pagamento ransomware non compra la chiusura della vicenda, compra una possibilità. Le organizzazioni che pianificano la resilienza invece di affidarsi alla negoziazione si trovano in una posizione di gran lunga più forte, che si trovino o meno a dover affrontare una richiesta di riscatto.