Il punto di vista di Cyber Academy
Il ransomware è la classe di malware che cifra i dati e richiede un pagamento per la chiave, spesso abbinata al furto di dati e all'estorsione (double extortion). Vettori di attacco: phishing, esposizione su sistemi internet-facing, supply chain. Le assicurazioni coprono meno, i regolatori controllano di più. L'esito dipende dal lavoro svolto prima dell'incidente (backup, segmentazione, piano IR), non dalla negoziazione.
Cos'è davvero un ransomware, e perché la cifratura è la parte facile
Un ransomware è un software malevolo che si impossessa di qualcosa di cui hai bisogno e ti costringe a pagare per riaverlo. Il meccanismo classico è la cifratura: il malware codifica i file sui sistemi che raggiunge e offre la chiave di decifratura in cambio di un pagamento, di solito in criptovaluta. Ma trattare il ransomware come un problema di cifratura ignora ciò che lo rende così dannoso. La cifratura è il sintomo visibile di un'intrusione che spesso è in corso da giorni o settimane.
Prima che un solo file venga bloccato, un attaccante ha tipicamente ottenuto un accesso iniziale, elevato i privilegi, si è spostato lateralmente nella rete, ha individuato i sistemi che contano e, di frequente, ha copiato i dati all'esterno. Il blocco finale è semplicemente il momento in cui l'operatore decide di convertire quell'accesso in denaro.
Questa sequenza spiega perché i peggiori incidenti ransomware non riguardano più soltanto file cifrati. Gli operatori hanno capito che una vittima con buoni backup poteva rifiutarsi di pagare e ripristinare, perciò hanno aggiunto una seconda leva: rubare prima i dati e poi minacciare di pubblicarli. Questa è la doppia estorsione, e cambia completamente il calcolo.
Persino un'organizzazione che ripristina in modo pulito da un backup affronta comunque la prospettiva che dati riservati, archivi clienti o contratti vengano divulgati su un sito pubblico. Alcuni gruppi si spingono oltre con pressioni aggiuntive, contattando direttamente clienti o autorità di regolamentazione, oppure aggiungendo un attacco denial of service. La trattativa, quando c'è, non riguarda davvero una chiave di decifratura. Riguarda se i dati rubati restino riservati.
Come entra, e perché ora il regolatore se ne preoccupa
La via d'ingresso è raramente esotica. I vettori dominanti sono quelli più banali: un'e-mail di phishing che recapita un loader o raccoglie credenziali, un servizio esposto su Internet lasciato senza protezione o non aggiornato, una password di accesso remoto debole o riutilizzata, e la catena di fornitura, dove un fornitore o un software fidato diventa la via d'accesso alla tua rete. Niente di tutto ciò richiede un exploit inedito. Basta una porta aperta, ed è per questo che la gestione dell'esposizione e l'igiene delle identità riducono il rischio ransomware più di qualsiasi singolo prodotto.
Un incidente ransomware è ormai un evento normativo, non solo tecnico. Poiché l'attacco comporta quasi sempre un furto di dati, di norma fa scattare gli obblighi relativi alle violazioni di dati personali ai sensi del GDPR, il che implica una valutazione di notifica all'autorità di controllo e, nei casi gravi, alle persone interessate. Gli operatori di servizi essenziali e importanti sono soggetti a obblighi di segnalazione degli incidenti che si sovrappongono ai sensi della direttiva NIS2.
Agenzie nazionali come ANSSI ed ENISA pubblicano linee guida proprio perché lo stesso modus operandi continua a funzionare. La conseguenza pratica per una funzione di rischio è che il piano di risposta deve includere il binario giuridico e di notifica fin dalla prima ora, condotto in parallelo al ripristino tecnico e non aggiunto in un secondo momento.
L'esito si decide prima dell'attacco, non durante la richiesta di riscatto
L'idea più importante per i professionisti è che il risultato di un incidente ransomware è in gran parte determinato dal lavoro svolto molto prima che accada. Un'organizzazione in grado di ripristinare rapidamente da backup puliti, testati, offline o immutabili può rifiutarsi di pagare per una chiave. Quella i cui backup erano raggiungibili dalla stessa rete, e quindi cifrati insieme a tutto il resto, non ha questa opzione. La segmentazione della rete limita la distanza che un'intrusione può percorrere prima di raggiungere i sistemi che contano. Un'autenticazione forte sull'accesso remoto e sulla posta chiude le porte d'ingresso più comuni. Una rilevazione che intercetta il movimento laterale guadagna le ore che separano un incidente contenuto da un evento di cifratura su scala aziendale.
Ciò che fanno realmente i team competenti, dunque, è investire nella postura precedente all'incidente piuttosto che nell'abilità di negoziazione. Mantengono backup isolati dal dominio di produzione, cifrati a riposo e ripristinati secondo un calendario, in modo che il ripristino sia dimostrato anziché presunto. Segmentano le reti affinché una postazione di lavoro compromessa non possa raggiungere senza ostacoli il server di backup o i controller di dominio.
Mantengono un piano di risposta agli incidenti che nomina ruoli, decisori, esperti forensi esterni e consulenza legale, oltre al percorso di notifica, e lo provano. È qui che il ransomware si collega direttamente alla gestione della continuità operativa e al ripristino in caso di disastro: il tempo di ripristino e il punto di ripristino che un'organizzazione può effettivamente raggiungere, testati rispetto a uno scenario realistico, fanno la differenza tra una brutta settimana e una crisi esistenziale.
Domande frequenti
01Cos'è la doppia estorsione nel ransomware?
La doppia estorsione si verifica quando gli attaccanti rubano i dati prima di cifrarli, poi minacciano di pubblicare o vendere i dati rubati oltre a trattenere la chiave di decifratura. Vanifica la difesa basata sui backup: persino una vittima che ripristina in modo pulito affronta comunque la fuga di dati riservati, ed è per questo che la pressione non riguarda più soltanto il recupero dei file.
02Dovremmo pagare il riscatto?
È una decisione giuridica e di rischio, non tecnica, e dovrebbe essere presa con un consulente legale. Il pagamento può fornire una chiave ma non annulla la violazione di dati né i relativi obblighi di notifica, i dati possono essere divulgati comunque, e pagare un'entità sanzionata comporta una propria esposizione giuridica. La maggior parte delle agenzie, tra cui ANSSI, sconsiglia di pagare.
03I backup ci proteggono dal ransomware?
Buoni backup sono la più solida difesa singola, ma solo se sono isolati, immutabili o offline, e regolarmente testati con un ripristino effettivo. I backup raggiungibili dalla rete di produzione vengono regolarmente cifrati nello stesso attacco. E contro la doppia estorsione, i backup consentono di recuperare ma non impediscono la fuga dei dati rubati.
04Un attacco ransomware è una violazione di dati da notificare?
Di solito sì. Poiché il ransomware moderno comporta quasi sempre un furto di dati, in genere fa scattare gli obblighi relativi alle violazioni di dati personali ai sensi del GDPR e, per i soggetti essenziali e importanti, la segnalazione degli incidenti ai sensi della NIS2. La valutazione di notifica dovrebbe iniziare nella prima ora, in parallelo al ripristino tecnico.
05Come entra di solito il ransomware in un'organizzazione?
Attraverso porte ordinarie: il phishing che recapita malware o ruba credenziali, sistemi esposti su Internet non protetti o non aggiornati, password di accesso remoto deboli o riutilizzate, e la catena di fornitura. Raramente ha bisogno di un exploit inedito, ed è per questo che l'igiene delle identità e la gestione dell'esposizione riducono il rischio più di qualsiasi singolo strumento.