La chiamata all’assistenza tecnica è pervenuta all’indirizzo 07 in una mattina d’estate del 2021. Tutte le icone sul desktop del chiamante erano diventate vuote, ha affermato. Nulla ha funzionato.
All’altro capo del telefono, John Abercrombie capì immediatamente cosa fosse andato storto. Il responsabile dell’assistenza tecnica di una piccola impresa edile commerciale della California settentrionale ha invitato il chiamante a scollegare immediatamente il proprio computer. Un minuto dopo, Abercrombie ricevette un’altra telefonata da una filiale con la stessa lamentela.
«A quel punto mi sono detto: “Siamo proprio nei guai”», ricorda ora.
Abercrombie chiamò per svegliare un tecnico che abitava più vicino alla sede centrale dell’azienda: «Non mi interessa se è in pigiama: si rechi immediatamente sul posto e inizi a scollegare tutto!» ha affermato.
A quel punto, oltre un centinaio di server e computer fissi dell’azienda erano stati infettati da malware. L’attacco ransomware ai danni di non solo aveva bloccato i dati dell’azienda, ma aveva anche crittografato i file del sistema operativo, rendendo i computer inutilizzabili. E per Abercrombie le sofferenze erano solo all’inizio.
La chiamata successiva l’ha effettuata alla sua compagnia di assicurazione informatica , la quale gli ha consigliato un avvocato. A sua volta, quell’avvocato ha incaricato un team di risposta agli incidenti in grado di aiutarlo a risolvere il problema, un computer
alla volta.
Ci è voluta circa una settimana per riportare l’azienda alla piena operatività, in parte perché gli autori dell’attacco erano rimasti in agguato all’interno della rete per un periodo di tempo imprecisato e avevano cancellato manualmente alcuni dei suoi backup online. In totale, Abercrombie ha lavorato 15 ore al giorno per un mese per ricostruire i sistemi da zero e riportare l’azienda alla normalità.
Alla fine, la sua compagnia assicurativa ha pagato il riscatto — una somma che si aggirava intorno alle sei cifre — e l’azienda è riuscita a decriptare i file che gli hacker avevano restituito.
John Abercrombie non è il vero nome di quell’uomo. Alcuni dettagli dell’attacco sono stati modificati per tutelare l’identità della sua azienda, al fine di evitare che diventi bersaglio di ulteriori attacchi. Ma la sua storia è molto comune. Secondo un recente rapporto della Commissione per la sicurezza interna e gli affari governativi del Senato, intitolato “ ” (), nel 2021 oltre 3.700 aziende hanno segnalato un attacco ransomware all’FBI. È quasi certo che tale cifra sottostimi in modo significativo il numero effettivo di attacchi.
Il ransomware continua a rappresentare un pericolo concreto e imminente sia per le piccole imprese che per le grandi aziende internazionali. E se i dirigenti aziendali non dispongono di un piano dettagliato per far fronte a tale situazione, potrebbero trovarsi in gravi difficoltà. Ecco cosa devono fare i dirigenti per mettere in atto il proprio piano qualora dovessero trovarsi ad affrontare un attacco.
Una storia ben nota di malware legata a un caso di cronaca nera
Da (Campbell Soup) a (Colonial Pipeline) , e da (negozi a conduzione familiare) a (interi governi): nessuna organizzazione è immune dagli attacchi ransomware. Si tratta di un problema che affligge da decenni sia le organizzazioni che i singoli individui.
«A quel punto mi sono detto: “Siamo proprio nei guai.”»John Abercrombie, responsabile dell’assistenza tecnica nel settore dell’edilizia commerciale
Il primo caso noto di attacco ransomware risale al 1989. Un malware noto come “Trojan dell’AIDS” veniva diffuso tramite un dischetto infetto e visualizzava un messaggio in cui si richiedeva il pagamento di una somma compresa tra 189 e 378 dollari.
Il problema è oggi di gran lunga più grave. Il rapporto “ 2022 Data Breach Investigations Report” di Verizon, disponibile all’indirizzo , ha rilevato un aumento allarmante di attacchi ransomware sempre più sofisticati. L'aumento del 13% degli attacchi registrato nel 2021 ha rappresentato il più forte incremento degli ultimi cinque anni. Secondo un’analisi condotta da Endpoint sui dati forniti da Chainalysis, società specializzata in blockchain, dal 2020 le organizzazioni hanno versato quasi 1,3 miliardi di dollari in criptovalute alle bande di autori di attacchi ransomware. Si tratta di circa quattro volte l’importo totale versato dal 2016 al 2020.
Nel 2021, i servizi di intelligence, le organizzazioni criminali e gli “hacktivisti” russi hanno ricevuto fino al 74% dei riscatti versati dalle aziende occidentali, pari a circa 400 milioni di dollari in criptovalute, secondo quanto riporta Chainalysis. Uno studio pubblicato a giugno dall’ , intitolato “ ” e disponibile all’indirizzo Microsoft , ha rilevato che, dall’inizio della guerra, la Russia ha preso di mira 128 organizzazioni in 42 paesi al di fuori dell’Ucraina, tra cui governi, think tank, organizzazioni umanitarie, fornitori di servizi IT e aziende che gestiscono infrastrutture critiche . Le azioni mirate della Russia contro hanno avuto esito positivo nel 29% dei casi. Almeno un quarto di queste intrusioni riuscite ha comportato il furto di dati.
La risposta più efficace ad attacchi di questo tipo non è cambiata molto da quando è apparso per la prima volta il ransomware. Se disponete di backup offline aggiornati, potete formattare i computer infetti, ripristinare i dati e proseguire con la vostra giornata lavorativa. Potrebbe perdere i dati relativi a qualche ora, ma è comunque meglio che pagare un riscatto, che potrebbe anche non garantirle di ricevere le chiavi per decriptare i dati rubati.
«Una volta che la vostra rete è stata compromessa, disporre di validi backup offline è la cosa migliore che possiate sperare», osserva Josh Bryant, direttore senior della gestione tecnica dei clienti presso Tanium.
Non esiste una soluzione semplice all’attuale epidemia di ransomware
Allora, perché il ransomware rappresenta ancora un problema così grave?
Uno dei motivi è che molte organizzazioni non gestiscono in modo adeguato la creazione dei backup, osserva Mike Meikle, consulente di sicurezza di lunga data che stima di dedicare circa il 20% del proprio tempo alla risoluzione di problemi legati al ransomware. In particolare, le organizzazioni non effettuano test adeguati per assicurarsi che i propri backup siano affidabili e contengano tutti i dati più critici e aggiornati necessari per il ripristino dell’attività aziendale.
L’altro motivo principale è che il settore del ransomware è diventato più sofisticato. L’ascesa del ransomware-as-a-service (RaaS) rende più agevole per gli autori di attacchi meno esperti sferrare attacchi. Perché dedicare tempo e denaro allo sviluppo di un proprio malware quando è possibile semplicemente noleggiare quello di qualcun altro? Molti autori di attacchi collaborano con i cosiddetti “initial access broker”, ovvero altri hacker che si procurano l’accesso alle reti e vendono tali vie d’accesso alle organizzazioni criminali, rendendo il loro compito ancora più agevole.
Recentemente le bande sono diventate più selettive nella scelta dei propri obiettivi, concentrandosi maggiormente sulle organizzazioni con ingenti risorse finanziarie piuttosto che sulle piccole imprese. Secondo Chainalysis, il riscatto medio pagato per i ransomware è aumentato da circa 25.000 dollari nel 2019 a quasi 120.000 dollari nel 2021. Gli autori degli attacchi trascorrono sempre più tempo a nascondersi all’interno della rete aziendale, spostandosi lateralmente, individuando le vulnerabilità ed esfiltrando dati sensibili.
Hanno inoltre adottato un modello di business secondario: l’estorsione. Secondo la società di gestione dei rischi informatici Kroll, quasi otto attacchi ransomware su 10 verificatisi nella prima metà del 2021 includevano la minaccia di rendere pubblici i dati sottratti su Internet.
I vettori di attacco più comuni, tuttavia, sono rimasti sostanzialmente gli stessi nel corso degli anni: vulnerabilità del software che vengono lasciate senza patch e persone che vengono indotte con l’inganno a rivelare le proprie credenziali di accesso o a eseguire codice dannoso.
«Impedire quell’accesso iniziale è estremamente difficile», afferma Bryant dell’ Tanium. «Per quanti controlli tecnici si possano mettere in atto, gli aggressori possono comunque ingannarvi e riuscire a introdursi nel vostro ambiente.» «E una volta entrati, possono vivere dei frutti del territorio e spostarsi lateralmente.»
Cosa fare dopo un attacco ransomware
Se avete la sfortuna di essere stati infettati da un malware, la prima cosa da fare è contattare il vostro ufficio legale, afferma Bryant. A loro volta, potranno interagire direttamente con la vostra compagnia di assicurazione informatica e con il vostro team di risposta agli incidenti.
«. Una volta entrati nel sistema, gli hacker possono avvalersi delle risorse disponibili e muoversi lateralmente.»Josh Bryant, direttore senior della gestione tecnica dei clienti, Tanium.
In caso di contenzioso, qualsiasi azione intrapresa dal team di IR sarebbe protetta dalla divulgazione in virtù del segreto professionale tra avvocato e cliente. Gli avvocati sarebbero inoltre coinvolti nella segnalazione dell’incidente alle autorità giudiziarie, quali l’Agenzia federale per la sicurezza informatica e delle infrastrutture (Cybersecurity and Infrastructure Security Agency, CISA) o il Centro per le denunce relative ai reati informatici (Internet Crime Complaint Center, ICCC) dell’FBI (IC3).
Ma soprattutto, è necessario attivare un piano di ripristino per l’intera organizzazione, un piano che sappiate già come attuare. L’organizzazione di esercitazioni teoriche o simulazioni periodiche, alle quali partecipino tutte le parti interessate di rilievo, può contribuire in modo significativo a garantire un pieno ripristino dopo un attacco informatico, aggiunge Bryant.
[Legga anche: 5 passaggi per un piano di risposta agli incidenti solido come una roccia]
Dopo aver individuato un'intrusione, sarà necessario stabilire in che modo gli aggressori siano riusciti a penetrare nel sistema e dove si siano poi diretti. Il Suo sistema di allerta ha forse tralasciato qualcosa? Dispone dei controlli adeguati in merito ai privilegi di accesso dei dipendenti? Limitare la capacità di un avversario di agire eliminerà la stragrande maggioranza delle minacce legate al ransomware, afferma Bryant. Se gli aggressori non riescono a muoversi lateralmente all’interno della vostra rete, è più probabile che passino a un bersaglio più facile.
A seconda della situazione, afferma, si può decidere di pagare un riscatto . Si tratta di una decisione che richiede un bilanciamento tra rischi e benefici e che, di norma, è di competenza dei settori legale e dirigenziale. Bryant raccomanda di porre domande quali: Qual è un livello accettabile di perdita? Potremmo sopportare di rimanere senza dati per una settimana o un mese qualora i nostri backup online più recenti fossero compromessi?
«Anche qualora decideste di procedere alla decrittografia, è comunque consigliabile effettuare un’indagine approfondita per assicurarsi che gli autori dell’attacco non abbiano lasciato tracce, per poi formattare i sistemi e ripristinarli a partire da backup validi e affidabili», afferma Bryant.
E, naturalmente, vorrà fare tutto quanto in suo potere per garantire che un attacco informatico non si ripeta.
John Abercrombie esegue ora il backup di tutti i server critici della sua azienda su un’apparecchiatura in loco che replica i backup su uno spazio di archiviazione cloud utilizzando credenziali di accesso diverse da quelle del resto della rete. L’azienda ha adottato un nuovo software di protezione basato sull’intelligenza artificiale endpoint , un software di protezione e un software di sicurezza per la posta elettronica, e ha incaricato una società specializzata in servizi di rilevamento e risposta gestiti (MDR) di gestirne l’implementazione. Ha implementato l'autenticazione a due fattori e ha avviato un corso di formazione anti-phishing per tutti i propri dipendenti.
La prossima ondata di malware
Abercrombie ricorda che l’aspetto più preoccupante dell’attacco ransomware subito dalla sua azienda è stata la consapevolezza che nulla impediva che venisse attaccata nuovamente.
«Ci sono moltissime bande di autori di ransomware in circolazione», afferma. «Non è certo che si possa dire: “Oh, uno dei nostri concorrenti li ha colpiti il mese scorso, quindi chiuderemo un occhio”.» «Pertanto, dopo l’incidente, ci siamo concentrati in modo particolare sulla sicurezza».
Qual è il miglior consiglio che Abercrombie può dare agli altri? «Elabori un piano», afferma. «Così, quando accadrà — e accadrà — non vi ritroverete a dovervi arrovellare per capire cosa fare.»
