Lo stadio del ghiaccio Thialf colpito dalla banda ransomware The Gentlemen

Cosa è successo allo stadio del ghiaccio Thialf

Thialf, il famoso stadio del ghiaccio olandese noto in tutto il mondo per ospitare campionati di pattinaggio di velocità, è diventato l'ultima vittima di un attacco informatico. Secondo Microsoft, il gruppo dietro l'intrusione, conosciuto come The Gentlemen, ha rubato dati dalla struttura e minaccia di pubblicarli sul dark web se non verrà pagato un riscatto entro pochi giorni.

Questo è un classico esempio di come opera una banda ransomware a doppia estorsione: gli aggressori non si limitano a bloccare i file, ma prima rubano dati sensibili e usano la minaccia di divulgazione pubblica come leva. Per un'istituzione come Thialf, ciò potrebbe significare che dati dei dipendenti, informazioni finanziarie, dati di biglietteria o altri dettagli operativi finiscano in vendita o scaricabili gratuitamente su forum criminali se la scadenza passa senza pagamento.

Come funziona il modello a doppia estorsione di The Gentlemen

Il copione della doppia estorsione è diventato l'approccio predefinito per la maggior parte delle operazioni ransomware serie, e The Gentlemen sembra seguire lo stesso schema documentato in innumerevoli altri casi. In primo luogo, gli aggressori violano una rete e procedono silenziosamente all'esfiltrazione dei dati prima di distribuire la crittografia. Solo dopo aver messo al sicuro i dati in loro possesso bloccano i sistemi della vittima e si rivelano, spesso con un conto alla rovescia e un sito di leak sul dark web come prova di ciò che hanno preso.

Questa tattica di pressione a due punte è progettata per chiudere la via di fuga più facile per le vittime. Anche un'organizzazione con backup solidi e la capacità di ripristinare i sistemi crittografati senza pagare si trova comunque di fronte alla seconda minaccia: l'esposizione pubblica dei file rubati. Questa combinazione ha reso la doppia estorsione molto più efficace del vecchio modello a minaccia singola basato solo sulla crittografia, ed è per questo che i ricercatori di sicurezza avvertono sempre più spesso che i backup sono necessari ma non più sufficienti da soli.

Spiegazione del ransomware-as-a-service e del reclutamento di affiliati

Ciò che rende gruppi come The Gentlemen particolarmente difficili da smantellare è che non operano come un'unica squadra rigidamente controllata. L'analisi di Microsoft descrive il gruppo come essersi espanso reclutando affiliati tramite accordi di ransomware-as-a-service, un modello di business in cui un team centrale costruisce e mantiene il malware, l'infrastruttura di negoziazione e i siti di leak, per poi affittare questo pacchetto di strumenti ad affiliati indipendenti che effettuano le violazioni effettive.

Questa struttura in stile franchising significa che un pagamento di riscatto non va necessariamente a un'unica mente criminale. Viene suddiviso tra gli sviluppatori e l'affiliato che ha condotto l'attacco, e ciò significa anche che le azioni delle forze dell'ordine contro un gruppo raramente eliminano la minaccia sottostante. Gli affiliati migrano semplicemente verso un altro marchio di ransomware-as-a-service e continuano a operare. È un modello di business costruito per la resilienza, ed è parte del motivo per cui il ransomware è rimasto un problema persistente anche mentre singole bande sorgono e tramontano. Le chat interne trapelate, dettagliate in un'inchiesta podcast della BBC sul gruppo ransomware Conti, hanno offerto uno sguardo raro su quanto possano essere aziendali e gerarchiche queste operazioni dietro le quinte.

Perché le VPN da sole non fermano il ransomware, e cosa aiuta realmente

Vale la pena chiarire qualcosa che molte coperture sorvolano: una VPN non avrebbe impedito un attacco come questo, e nessun singolo strumento lo farà. Le bande ransomware di solito entrano attraverso email di phishing, credenziali rubate, software non patchati o servizi di accesso remoto esposti, non attraverso lacune che una VPN consumer è progettata per colmare. Le organizzazioni hanno invece bisogno di difese stratificate: autenticazione a più fattori, segmentazione della rete, backup offline regolari, strumenti di rilevamento degli endpoint e formazione del personale per riconoscere i tentativi di phishing.

La decisione se pagare o meno è dove le cose diventano veramente difficili, e i dati qui sono scoraggianti per chi spera che il pagamento garantisca una risoluzione netta. Un rapporto trattato da Proofpoint sui pagatori di ransomware che spesso vengono colpiti di nuovo ha rilevato che una quota significativa di organizzazioni che pagano una volta finisce per essere presa di mira una seconda volta, suggerendo che pagare può contrassegnare una vittima come bersaglio facile anziché chiudere la questione dell'incidente. Non tutte le organizzazioni scelgono di cedere, comunque. Il produttore svizzero Stadler Rail ha pubblicamente rifiutato una richiesta di riscatto di 12,3 milioni di dollari dalla banda Everest, dimostrando che il rifiuto è una strada percorribile, seppur difficile, che alcune vittime intraprendono.

Cosa significa questo per te

Per la maggior parte dei lettori, l'incidente di Thialf non è una minaccia diretta, ma è un utile promemoria di come funzionano le moderne operazioni ransomware e perché continuano ad avere successo. Se lavori in un'organizzazione, specialmente una che gestisce dati di clienti, dipendenti o visitatori, la lezione è che la prevenzione deve avvenire ben prima che scatti il conto alla rovescia dell'aggressore. Se sei un visitatore, un dipendente o un partner di Thialf preoccupato per i tuoi dati, presta attenzione alle comunicazioni ufficiali della struttura e fai attenzione ai tentativi di phishing che fanno riferimento alla violazione, poiché aggressori e opportunisti spesso usano la notizia di una fuga di dati per mettere in atto truffe successive.

Consigli pratici

• Dai per scontato che qualsiasi organizzazione che detiene i tuoi dati potrebbe trovarsi di fronte a una banda ransomware a doppia estorsione; chiedi alle aziende con cui interagisci quali sono le loro pratiche di risposta agli incidenti e protezione dei dati.
• Se gestisci sistemi IT, dai priorità all'autenticazione a più fattori, alle patch e ai backup offline rispetto a qualsiasi singolo prodotto di sicurezza, VPN incluse.
• Non dare per scontato che pagare un riscatto risolva un incidente in modo netto. Le prove suggeriscono che il re-targeting è comune tra le organizzazioni che pagano.
• Fai attenzione alle email di phishing che fanno riferimento alla violazione di Thialf o incidenti simili, poiché gli aggressori spesso sfruttano le notizie pubbliche di violazioni per truffe successive.
• Segui come le organizzazioni colpite rispondono nei prossimi giorni. La decisione di Thialf se pagare o meno aggiungerà un altro dato al dibattito in corso sui pagamenti di riscatto.

Mentre operazioni di ransomware-as-a-service come The Gentlemen continuano a reclutare affiliati e perfezionare le tattiche di doppia estorsione, incidenti come quello di Thialf sono destinati a continuare a fare notizia. Rimanere informati su come si svolgono questi attacchi e spingere le organizzazioni da cui dipendi a prendere sul serio la prevenzione rimane uno dei passi più pratici a disposizione del pubblico.