Kurtis Minder ha protetto lo schermo del suo portatile dagli sguardi indiscreti dei passeggeri seduti nei posti vicini.
Era la fine di giugno del 2021 e l’ CEO e e fondatore di GroupSense — che si definisce una società di ricognizione informatica — si trovava nelle delicate e pericolose fasi finali della negoziazione di un accordo relativo a un ransomware con dei criminali informatici che chiedevano la somma esorbitante di 6 milioni di dollari per riportare alla normalità la rete e i dati di un cliente aziendale.
“È stata una situazione difficile”, ricorda Minder, 44 anni, che ogni giorno media due o tre accordi relativi al ransomware . A differenza della maggior parte degli attacchi, in questo caso gli hacker sono riusciti a sottrarre i documenti contabili dell’azienda a capitale privato, pertanto ne conoscevano il valore. Avevano inoltre scoperto la polizza assicurativa contro i rischi informatici dell’azienda, dalla quale risultava che essa disponesse dei mezzi necessari per pagare. In breve, gli hacker avevano il sopravvento.
«Il più delle volte, la trattativa con i ransomware è un po’ come una partita di tennis, in cui si va avanti e indietro con le cifre», afferma Minder. «Questa volta, non erano disposti a farlo. «Si stavano impuntando.»
Con gli attacchi ransomware negli Stati Uniti in forte aumento, con un incremento superiore al 300% , e i riscatti noti che lo scorso anno hanno registrato un balzo del 341%, raggiungendo i 412 milioni di dollari rispetto ai 2019, i negoziatori come Minder stanno diventando un'ancora di salvezza fondamentale per migliaia di vittime tra aziende e agenzie governative in tutto il mondo. Tuttavia, i loro servizi possono suscitare polemiche.
L'FBI e il Dipartimento per la Sicurezza Interna, che indagano sugli attacchi ransomware, raccomandano alle organizzazioni di non pagare il riscatto. Il pagamento, sottolineano, non garantisce che riavrete i vostri dati. Inoltre, incoraggia — e sovvenziona — l’attività delle bande di autori di ransomware.
Detto questo, vi sono occasioni in cui le organizzazioni — in particolare quelle operanti nei settori delle infrastrutture e della sanità — si trovano letteralmente di fronte a decisioni di vita o di morte per quanto riguarda il ripristino dei propri sistemi nel più breve tempo possibile. È qui che entrano in gioco professionisti come Minder.
Come ogni abile negoziatore, Minder ricorre a un mix di franchezza, astuzia e fascino per risolvere le crisi dei suoi clienti. Nel corso delle recenti trattative, Minder ha comunicato agli hacker che il suo cliente era disposto a pagare, ma non se l’importo lo avesse portato al fallimento. Minder e i suoi clienti hanno mantenuto un atteggiamento paziente e risoluto, anche quando gli hacker hanno intensificato la pressione ricorrendo a un call center per comunicare al personale e ai partner che l’azienda non stava agendo nel loro interesse rifiutandosi di accettare la loro offerta.
Alla fine, quando l’aereo di Minder atterrò sulla pista di San Francisco, era riuscito a convincere gli hacker ad accettare una somma inferiore, compresa tra il 85% e il 90%, rispetto alle loro richieste iniziali. I suoi compagni di viaggio non si accorsero di nulla.
Chi chiamerà?
Come ormai anche chi segue le notizie solo di sfuggita sa bene, il ransomware è una forma di software dannoso (denominato malware) che, in genere, blocca l’accesso a un sistema informatico o ai dati crittografando i dati o i programmi presenti al suo interno. I malintenzionati richiedono quindi il pagamento di un riscatto per sbloccare i sistemi e le informazioni, un processo che può protrarsi per settimane o addirittura mesi.
Poiché poche organizzazioni sono in grado di resistere a un’assenza così prolungata di sistemi informatici e informazioni, i dirigenti più esperti ricorrono a un supporto esterno per individuare il percorso più rapido verso la risoluzione del problema . Di norma, si inizia contattando un avvocato specializzato in materia di privacy, rivolgendosi a un assicuratore specializzato in rischi informatici, oppure entrambe le cose. Ciascuno valuterà l’esposizione del cliente (giuridica, tecnologica o di altro tipo) e suggerirà una serie di azioni da intraprendere.
«Il più delle volte, la trattativa con i ransomware è un po’ come una partita di tennis, in cui si va avanti e indietro con le cifre.»Kurtis Minder, CEO e fondatore di GroupSense
Spesso, quindi, indirizzano i dirigenti a un negoziatore specializzato in casi di ransomware per aiutarli a gestire la situazione con gli hacker. Michael Phillips, avvocato in attività che ricopre il ruolo di responsabile dei sinistri presso Resilience, una start-up specializzata in assicurazioni contro i rischi informatici, nonché copresidente della Ransomware Task Force dell’Institute for Security & Technology, afferma che indirizzare la maggior parte dei clienti ai negoziatori è una scelta ovvia.
Alcuni dirigenti impulsivi e responsabili IT cercheranno inevitabilmente di negoziare per conto proprio, afferma, ma non comprendono le regole di base e, se lasciati liberi di agire, possono peggiorare notevolmente la situazione.
«Ho avuto a che fare con un certo CEO che era assolutamente furioso», afferma Phillips. «Era un tipo dal carattere impetuoso e virile che voleva contattare l’aggressore per dirgli esattamente cosa pensava di lui, per minacciarlo.» «Ma quel tipo di comportamento non fa altro che aggravare la situazione e spingere gli hacker ad aumentare le loro richieste, a tacere o a sferrare ulteriori attacchi per ripicca».
Inoltre, se dovesse arrivare il momento di pagare effettivamente un criminale informatico, osserva Phillips, pochi dirigenti aziendali o responsabili IT sanno da dove cominciare per accumulare la quantità di bitcoin necessaria a concludere l’affare.
«Non è consigliabile cercare di acquistare criptovalute per un valore di milioni di dollari senza il supporto di esperti», afferma. Non otterrà la stessa sicurezza in termini di prezzi che avrebbe con un esperto. Ho parlato, ad esempio, con persone che hanno acquistato criptovalute a una valutazione talmente gonfiata da costare loro molto più di quanto avrebbero dovuto, e con altre che hanno finito per pagare il doppio perché hanno inviato bitcoin a un indirizzo sbagliato.”
Conoscete il vostro nemico
Kirsten Bay, CEO di Cysurance, società che fornisce assicurazioni contro i rischi informatici alle piccole imprese e ai loro partner, afferma che anche la sua azienda indirizza i clienti verso i negoziatori, poiché questi ultimi tendono a sapere meglio di chiunque altro come limitare i costi complessivi e accelerare le procedure.
«I negoziatori di ransomware sanno bene quale sia l’importo ragionevole da pagare per le organizzazioni di determinate dimensioni, chi siano gli autori degli attacchi, quali siano i tipi di attacchi e così via», afferma Bay. «Conoscono i Suoi concorrenti e sanno quali di essi applicano sconti del 60%, del 40% o del 20%, il che può farLe risparmiare molto.»
“A volte le organizzazioni… prendono semplicemente la decisione aziendale di provare a ripristinare i dati dai backup e mandano al diavolo l’hacker.”Minder
Ciò non significa che i negoziatori ricorrano immediatamente al pagamento dei criminali informatici. Secondo Minder, sebbene il 80% dei suoi clienti paghi effettivamente una certa somma, circa il 20% non lo fa mai.
«A volte le organizzazioni assumono una posizione etica, affermando che il pagamento del riscatto non è in linea con i loro valori fondamentali», afferma. «Altre volte, dispongono di un piano di continuità operativa adeguato, che offre loro un percorso chiaro verso la risoluzione del problema. Oppure ritengono che le conseguenze dell’attacco non saranno poi così gravi. Oppure prendono semplicemente la decisione aziendale di provare a ripristinare i dati dai backup e mandano al diavolo l’hacker.”
Poche organizzazioni possono però permettersi tali lussi. Infatti, la maggior parte delle vittime di attacchi informatici è costituita da piccole aziende con scarse risorse IT, che si trovano in uno stato di “panico”, afferma Keith Swanson, ex detective della polizia di Scottsdale, in Arizona, ora negoziatore specializzato in casi di ransomware presso la Kivu Consulting di Phoenix, nonché responsabile dell’ e di risposta agli incidenti e delle indagini forensi presso la compagnia assicurativa Allstate.
Quando ciò accade, afferma Swanson, è compito del negoziatore calmarli. Collabora con il cliente per capire in che modo gli hacker siano riusciti a penetrare nella rete. (Suggerimento di : I dispositivi con sicurezza inadeguata o configurati in modo errato endpoint , così come il software non aggiornato, sono spesso i responsabili.) Aiuta quindi i clienti a stabilire se gli hacker abbiano sottratto dati privati o sensibili, individua quale banda di criminali informatici sia responsabile del ransomware (analizzando le loro comunicazioni con la vittima) e, successivamente, illustra le opzioni disponibili per ripristinare il normale funzionamento dei sistemi.
Swanson spiega ai clienti che i criminali informatici seguono una determinata tempistica nelle trattative e avverte che ci vorrà del tempo per giungere a una conclusione. Ma soprattutto, egli ricorda loro che, anche se pagassero il riscatto e ricevessero la soluzione crittografica al loro dilemma, i sistemi non tornerebbero immediatamente alla normalità. I dati non saranno restituiti in tempi brevi. Anche questo richiede tempo.
La sopravvivenza dei più calmi
Si tratta di una situazione che mette a dura prova la maggior parte dei dirigenti aziendali, afferma. Sono a rischio sia la redditività delle loro aziende sia i loro rapporti con clienti, partner, investitori, dipendenti e media.
«Abbiamo ricevuto una chiamata da un cliente vittima di un attacco hacker un venerdì pomeriggio, e ci ha detto: “Siamo disposti a fare qualsiasi cosa, subito!” » afferma Swanson. «Hanno detto: “Dobbiamo pagare questo riscatto entro i prossimi 30 minuti, in modo da poter ripristinare il funzionamento dei nostri sistemi entro lunedì”.» Non disponiamo di copie di backup. «Dobbiamo pagare perché per noi è più veloce decriptare in questo modo.» Naturalmente, non è vero. Non abbiamo mai visto nessuno, nemmeno chi ha pagato per ottenere la chiave crittografica, tornare operativo in meno di una settimana. Il processo di crittografia e decrittografia danneggia i file. Interrompe le connessioni. Rende i computer instabili. «È un incubo.»
Nella maggior parte dei casi, i negoziatori riescono a riportare i dirigenti con i piedi per terra. A quel punto avranno una conversazione schietta riguardo allo stato dei loro backup. Se dovesse emergere che i database compromessi si trovavano in sede, ma che l’organizzazione ha avuto la lungimiranza di archiviare le informazioni in sedi esterne, essa si troverebbe in una posizione di vantaggio. Non è detto che debbano necessariamente negoziare, anche se talvolta può valere la pena farlo se un accordo contribuisce ad accelerare il processo di recupero o induce gli hacker ad accettare di non divulgare i dati sottratti su nel Dark Web.
Prepararsi alla battaglia
Sia Swanson che Minder affermano di non intraprendere mai una trattativa con l’intenzione di pagare un criminale informatico. Ma se un cliente si trova in una posizione di debolezza, sa bene che questo è il risultato più probabile. È in quel momento che, proprio come qualsiasi negoziatore di polizia esperto in una situazione con ostaggi, mettono in atto il maggior numero possibile di stratagemmi del mestiere per instaurare un legame.
La comunicazione con gli autori degli attacchi ransomware avviene solitamente in questo modo: un giorno i dipendenti si presentano al lavoro e scoprono che i sistemi non funzionano. L'e-mail non funziona. Non possono accedere alle principali applicazioni interne. Le connessioni digitali con il mondo esterno vengono interrotte. Nel bel mezzo di tutto ciò, sugli schermi dei dirigenti e dei responsabili IT compare una richiesta di riscatto in formato elettronico che esige il pagamento di una somma di denaro — in bitcoin non rintracciabili — in cambio di una chiave di decrittazione. Il biglietto potrebbe persino identificare l’autore del reato. Conti, DarkSide, Maze e NetWalker sono alcuni dei malintenzionati più diffusi.
”Non è consigliabile cercare di acquistare milioni di dollari in criptovaluta senza il supporto di esperti. [Può] costare molto più di quanto dovrebbe.”Michael Phillips, avvocato, Resilience
Da quel momento in poi, è abbastanza facile comunicare con gli aggressori. La lettera include inoltre, di norma, un indirizzo crittografato , ProtonMail, oppure un link a un portale di chat su , Tor (abbreviazione di “The Onion Router”), una rete open source incentrata sulla privacy che consente agli utenti di navigare sul web in modo anonimo.
Swanson afferma che parte della strategia consiste nel limitare le comunicazioni con gli hacker.
«Non vogliamo continuare a discutere all’infinito con loro», afferma. «Sfruttiamo il tempo a nostro vantaggio dicendo loro: “Ascoltate, ci avete dato fuoco. «Siamo impegnati a cercare di ripartire». Li tenete a distanza di sicurezza per non dare l’impressione di essere alla disperata ricerca di qualcuno. Ascolteremo come reagiranno. Analizzate il loro tono. «E adattarsi al momento.»
[Legga anche: Come reagire a una violazione dei dati]
Il tono degli hacker varia, afferma Swanson. Alcuni sono “individui che cercano di farsi un nome fingendo di essere dei duri”. Poi ci sono quelli che ci chiamano “fottuti” e “teste di cazzo” e cose del genere. «La maggior parte di coloro che incontro, però, si comporta in modo piuttosto professionale.»
Anche Minder ha vissuto esperienze simili.
«Se dovessi descrivere il loro atteggiamento generale, direi che è freddo. «La maggior parte non è pericolosa», afferma. "Sono molto concisi: ‘Questo è ciò che ho. «Ecco cosa farò e quali saranno le conseguenze per voi se non pagherete.» «In realtà non sono ostili.»
Implicazioni giuridiche in evoluzione
I negoziatori raramente operano in un contesto isolato. La maggior parte delle comunicazioni reciproche ottiene l’approvazione del cliente. Si preoccupano inoltre di coinvolgere le forze dell’ordine (l’FBI). E devono tenere ben presente la normativa federale che stabilisce a quali gruppi sia consentito pagare un riscatto e a quali no.
È un fatto poco noto che, di norma, il pagamento di un riscatto non sia illegale. In realtà, le agenzie federali come l’FBI si limitano a sconsigliare tale pratica, sottolineando che essa non garantisce il recupero dei dati. Il pagamento di un riscatto può tuttavia diventare illegale qualora un’organizzazione effettui un pagamento a un hacker che figuri in una delle liste delle sanzioni dell’Ufficio per il controllo dei beni stranieri (OFAC) del Dipartimento del Tesoro degli Stati Uniti ( ). Analogamente alla lista di controllo antiterrorismo del governo, tali elenchi identificano gruppi di hacker che si ritiene siano collegati a potenze straniere ostili, quali la Corea del Nord o l’Iran. E gli elenchi continuano ad allungarsi. Infatti, uno studio di Chainalysis intitolato “ ” ( ) ha rilevato che il 32% dei pagamenti noti relativi a ransomware effettuati quest’anno comportava un rischio di sanzioni legate all’OFAC, rispetto al 15% registrato nel 2020.
Ciononostante, affermano i negoziatori, riescono costantemente a collaborare con la maggior parte degli hacker per concordare accordi sul riscatto che vanno dal 10% al 25% delle richieste iniziali.
«È una forma d’arte», afferma Swanson. «Utilizziamo le nostre formulazioni per farlo. La nostra creatività. Il nostro tempismo. A volte abbiamo usato il COVID come scusa. Diamine, durante le elezioni abbiamo persino fatto ricorso a Donald Trump. «Qualunque cosa ci venga in mente sul momento, la mettiamo a frutto.»
Contrastare le reazioni negative del settore
Non tutti gli operatori del settore concordano sul fatto che la negoziazione con gli autori di ransomware sia un’arte così raffinata.
L’assicuratore francese AXA, ad esempio, ha recentemente deciso di smettere di rimborsare i pagamenti effettuati a a seguito di richieste di riscatto, dopo che i funzionari governativi avevano espresso il timore che ciò potesse incoraggiare un aumento della criminalità. Nel frattempo, è nato un gruppo denominato “, il progetto No More Ransom”, con il sostegno di aziende specializzate in sicurezza informatica, nonché di Amazon Web Services, al fine di contrastare il pagamento dei riscatti richiesti dai ransomware. E ad agosto, Microsoft ha acquisito una partecipazione nella start-up Rubrik per sviluppare prodotti che consentano di recuperare rapidamente i dati senza dover pagare gli hacker.
La reazione negativa nei confronti del pagamento del riscatto (non necessariamente nei confronti dei negoziatori) si estende anche al settore dei servizi finanziari, dove i premi delle assicurazioni contro gli attacchi informatici hanno registrato un aumento a seguito dei gravi attacchi ransomware subiti, tra gli altri, da SolarWinds, Kaseya, CNA Financial, Colonial Pipeline e Acer. John Donnelly, dell’agenzia Marsh CEO , ad esempio, afferma che i premi delle assicurazioni contro i rischi informatici sono aumentati fino al 60% nell’ultimo anno. Ciò incide certamente sui profitti delle aziende della classifica Fortune 1000 , di cui si stima che circa il 70% disponga di un’assicurazione contro i rischi informatici, afferma Bay di Cysurance. Tuttavia, per le aziende più piccole che si trovano sotto pressione, l’aumento dei prezzi è significativo, al punto da impedire a molte di esse di potersi permettere un’assicurazione.
«È proprio nel segmento medio del mercato che le persone stanno soffrendo di più», afferma Bay. «Quando il fatturato annuo scende al di sotto dei 50 milioni di dollari, è probabile che la copertura si attesti tra il 30% e il 40%.» “Dobbiamo migliorare.”
La Bay afferma che, a differenza di altri osservatori, non ritiene che il pagamento dei riscatti sia la causa principale dell’aumento dei premi delle assicurazioni contro i rischi informatici.
«Sono i costi accessori a causare la maggior parte delle difficoltà e delle perdite», afferma. «Potrebbe capitare che qualcuno paghi 12.000 dollari di riscatto al termine di una trattativa, ma che debba poi sostenere, oltre a ciò, 300.000 dollari di costi di ripristino. A meno che non si tratti di uno dei principali attacchi alla catena di approvvigionamento, come quello ai danni di Kaseya, è proprio il ripristino a rivelarsi così oneroso per le aziende. Pertanto, più rapidamente i negoziatori riescono a far superare l’iter a una persona, meglio è.”
