Riepilogo
Il costo di fare affari è cambiato significativamente a causa del ransomware, ma in termini di soldi e buon senso (quanto dovresti pagare, e cos'altro dovresti fare o non fare?), beh, sembra esserci poco consenso.
Ci rivolgiamo a uno dei principali esperti di ransomware del paese per suggerimenti su cosa prioritizzare: migliore igiene informatica, aggiornamenti frequenti, politiche di password più solide—fatto, fatto, fatto. E per quanto riguarda le nuove leggi che vietano i pagamenti di riscatto? Hmm, lui dice… mai dire mai.
HOST: Maggie Miller, direttrice del content marketing, Tanium
OSPITE: Kurtis Minder, CEO, GroupSense
Note dello show
Dai un'occhiata a questi articoli su Focal Point, il nuovo magazine online di notizie cyber di Tanium, e a un recente avviso dei nostri analisti di cyber threat intelligence (CTI) sul dibattito in corso in Australia.
- Come le aziende stanno affrontando il ransomware
- I pagamenti alle organizzazioni che utilizzano il ransomware dovrebbero essere considerati illegali?
- L'arte della negoziazione dei ransomware
- CTI: L'Australia valuta il divieto sui pagamenti ransomware
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
Kurtis Minder: Alcuni esponenti del governo credono che, se lo rendiamo semplicemente illegale, le persone smetteranno di pagare i riscatti e i malintenzionati smetteranno di attaccare. E il fatto è che, molto probabilmente, quello che accadrà è che si spingerà il comportamento nella clandestinità. Se ho una scelta, sai, come piccola impresa, tipo, perderò la mia piccola impresa su cui ho lavorato per 18 anni oppure infrangerò la legge ma forse non verrò scoperto, probabilmente propenderò per la seconda opzione.
Maggie Miller: Salve, sono Maggie Miller, e oggi su Let's Converge parliamo di ransomware e delle domande chiave che le organizzazioni dovrebbero porsi quando vengono attaccate—domande come: paghiamo il riscatto o no? Quanto dovremmo pagare, o dovremmo resistere e non pagare nulla?
Il nostro ospite è Kurtis Minder, un negoziatore di ransomware con più di 20 anni nel settore della sicurezza informatica.
In qualità di fondatore e CEO di GroupSense, un'azienda di ricognizione informatica, Kurtis sa per esperienza diretta quanto il mondo del ransomware sia pieno di contraddizioni. Ad esempio, molti imprenditori credono che pagare il riscatto sia il modo più rapido per superare un tale attacco e proteggere i clienti. Ma alcuni esperti sostengono che i pagamenti per ransomware non fanno altro che incoraggiare ulteriori attacchi e richieste sempre più elevate.
In 2021, il conglomerato assicurativo francese AXA ha dichiarato che avrebbe annullato le polizze assicurative informatiche di qualsiasi azienda che avesse effettuato pagamenti per ransomware. E l'anno scorso, la Carolina del Nord è diventata il primo stato a vietare alle agenzie governative di effettuare tali pagamenti. Cosa devono fare quindi i leader aziendali?
Bene, grazie mille, Kurtis, per esserti unito a me.
Minder: Grazie mille per avermi invitato.
Miller: Prima di entrare nei dettagli su come le organizzazioni possono affrontare il ransomware, voglio sapere qualcosa di molto basilare: com'è per lei essere un negoziatore di ransomware quando deve comunicare effettivamente con questi criminali informatici? È ostile, è minaccioso? Come sono questi hacker?
Minder: Beh, dipende. È una questione sfumata, ma li chiamiamo attori delle minacce invece di hacker—c'è un lato positivo nell'essere un hacker. Ma in gran parte è standardizzato. Hanno un manuale che seguono e una struttura organizzativa, molto simile a un'azienda. E una volta che si affrontano alcuni di questi casi in cui si lavora con loro, ci si familiarizza con la routine e il manuale. E quindi, anche se sembra davvero entusiasmante, gran parte di esso è di natura meccanica. Occasionalmente le cose vanno fuori controllo o prendono una direzione inaspettata, ma non troppo spesso.
L'altra cosa che dirò è che trattare con gli attori delle minacce come parte della negoziazione è sicuramente una sfida, il cuore dello scenario. Ma c'è anche molto mestiere che entra in gioco nel lavorare con la vittima. E a seconda delle dimensioni della vittima, questo può spaziare dalla politica aziendale fino al ruolo di una sorta di terapeuta, per così dire, per le piccole imprese.
Miller: Wow. Beh, può illustrarci la traiettoria di base di un attacco ransomware? Quindi, arrivo al lavoro, i miei sistemi informatici si bloccano, viene richiesto un riscatto. Quali sono i primi passi che devo compiere e con quale rapidità devo agire?
Minder: La risposta sicura è: dipende dalla tua organizzazione. Ma sì, è piuttosto scioccante entrare in ufficio e trovare letteralmente nulla che funzioni. E sottolineo il concetto di nulla. Molti degli autori delle minacce sono diventati molto abili nella componente di disruption.
E quando si pensa a cosa significa nulla, non significa solo che non puoi usare il tuo computer, o che i clienti non possono interagire con te o ordinare prodotti, o magari se sei un produttore non puoi spedire i prodotti. Significa anche che non si riesce a gestire le buste paga e non si riesce a comunicare con il personale per via elettronica. Quindi pone una serie di sfide davvero complesse e sfaccettate. Idealmente, un'organizzazione di qualsiasi dimensione dovrebbe avere un piano e dovrebbe attuarlo. Quel piano è spesso guidato da elementi come la cyber insurance.
Quindi, se si dispone di una cyber insurance, questa determinerà in parte l'ordine in cui si fanno le cose.
L'altra cosa che voglio dire è che quando ci si imbatte nella richiesta di riscatto vera e propria—sono in qualche modo standardizzate—conterrà una serie di cose da fare e da non fare da parte dei malintenzionati, alcune delle quali non sono cattivi consigli, ma alcune sono una sorta di teatro. Ma le richieste di riscatto non contengono effettivamente la somma richiesta, quindi non si sa realmente cosa chiedono gli autori della minaccia finché non li si contatta. Quindi c'è tutta una forma d'arte riguardo a quando e quanto velocemente lo si fa. Ed è davvero basato sulle circostanze specifiche dell'attacco.
Miller: Wow. E sappiamo che gli attacchi ransomware sono in aumento, ma come si stanno evolvendo? Cosa c'è di nuovo o di diverso negli attacchi informatici che stai affrontando ora rispetto a qualche anno fa?
Minder: Beh, continuano a iterare e a cercare di aggirare le nostre difese man mano che queste migliorano. Quindi c'è una sorta di gara del gatto e del topo dal punto di vista tecnico, dal punto di vista strategico. Si sono spinti fino ad assumere call center per chiamare i tuoi clienti o dipendenti e informarli dell'attacco, per farti vergognare e spingerti a trattare con loro e a pagare. Quindi hanno davvero intensificato la parte estorsiva.
Una delle cose frustranti è che, nonostante la gara del gatto e del topo nella componente tecnica che cambia, la maggior parte degli attacchi rimane uguale a qualche anno fa. E di solito si tratta di errori basilari di igiene informatica che le aziende commettono e che consentono agli attori delle minacce di entrare con relativa facilità.
Miller: Uno dei compiti principali di un negoziatore di ransomware è determinare quale sia un importo ragionevole da pagare per diverse aziende di diverse dimensioni. Quindi come lo determini?
Minder: Questa è un'ottima domanda. Quando abbiamo iniziato a fare questo come pratica, ci siamo concentrati davvero solo su quella che chiamerei la parte di coinvolgimento dell'attore della minaccia o la parte della negoziazione. Ma continuavamo a ricevere domande nella fase iniziale di questi casi: dovremmo pagare? E la nostra risposta era sempre: non lo so, perché è una decisione aziendale, una decisione etica e in qualche misura una decisione legale.
Se potessi guidarvi attraverso i passaggi fondamentali, il primo è: pagare un riscatto viola il vostro codice etico o i vostri valori fondamentali come organizzazione? Questo è il primo. Perché se è così, allora ovviamente abbiamo risposto a quella domanda: non pagheremo, qualunque cosa accada. Ma forse avete delle priorità nei vostri valori fondamentali che dicono che preferiamo rimanere in attività e pagare i nostri dipendenti, il che di solito è il caso.
[Risata.] E si arriva al passaggio successivo, ovvero: è illegale? Il Dipartimento del Tesoro ha un elenco di persone con cui non si deve assolutamente trattare. E quindi, comprendere le ramificazioni legali... e ora alcuni stati stanno approvando leggi, inclusa la Carolina del Nord, che ha approvato una legge per dichiarare illegale il pagamento di un riscatto. Quindi dobbiamo comprendere le componenti di conformità di questo. È illegale? Quindi ora hai superato quel cancello.
Ed ecco quella davvero difficile, e questo si allinea in qualche modo con la tua domanda: ha senso dal punto di vista aziendale impegnarsi e pagare un riscatto, e qual è l'importo giusto? Ed è una domanda davvero difficile perché gran parte dell'attacco è di natura soggettiva ed è difficile dare una risposta quantitativa. Lo chiamo il raggio d'azione del ransomware, dove comprendiamo che l'impatto iniziale dell'attacco ransomware è l'interruzione operativa.
Non puoi usare le tue macchine, non puoi interagire con i tuoi clienti. Ci sono anelli concentrici di impatto attorno a quell'interruzione operativa che a volte sono più duraturi e potenzialmente più costosi o dannosi dell'impatto operativo stesso. Alcuni di questi sono ovvi—abbiamo parlato della parte di estorsione. Quindi, se stanno divulgando dati o contattando i vostri partner commerciali o dipendenti, si genera una sorta di problema di reputazione o fiducia. E poi ci sono quelli più sfumati, come nel caso in cui non riusciate a pagare gli stipendi e forse non riusciate a farlo per un certo periodo e si verifichi un'attrito, quanto costa riassumere, riqualificare e reclutare nuovo personale per sostituire quelle persone.
Questo calcolo è davvero difficile, e nella misura del possibile nella fase iniziale del caso, stiamo aiutando le aziende ad affrontarlo, ma spetta davvero a loro come vittime decidere quanto vale. E a volte questo determina se ci impegniamo del tutto, perché se arriviamo a un numero che è semplicemente irragionevole per l'azienda, allora la risposta è: non vale nemmeno la pena contattare i malintenzionati—non saremo in grado di farlo e dobbiamo trovare un altro modo. È molto complicato.
Miller: Sì. Sa, ho intervistato un'organizzazione all'inizio di quest'anno che era stata colpita da un attacco ransomware e non ha pagato. Il motivo era che disponevano di un backup di tutti i loro dati, quindi erano in grado di avere tutti i dati di cui avevano bisogno. Erano anche in grado di tornare online in sicurezza. Avevano messo in quarantena l'endpoint che era stato infettato. Erano in grado di aggiornare ogni altro endpoint e tornare online abbastanza rapidamente.
Quindi pensa che questa sia fondamentalmente la posizione migliore in cui trovarsi per qualcosa del genere, se dovesse accadere?
Minder: Certamente, avere un approccio di continuità aziendale e tecnologico per risolvere questo problema è la circostanza migliore. Ma spesso non funziona così bene come ha appena descritto per molte organizzazioni. Quindi, a seconda delle dimensioni dell'organizzazione, si sta già parlando di tutto—siti multipli, reti multiple, sistemi multipli—ripristinare tutto ciò può essere un processo molto tedioso e dispendioso in termini di tempo.
Abbiamo avuto anche casi in cui le persone inizialmente sono molto fiduciose e dicono: 'Ehi, guarda, non vogliamo pagare questi tizi. Abbiamo backup impeccabili, faremo il ripristino.' E io dico, bene, non voglio pagarli neanche io [Risata.], quindi facciamolo. Ma poi mi chiamano 12 ore dopo e dicono che si scopre che ci vorranno otto settimane per ripristinare tutto e che hanno bisogno che il sistema funzioni entro mercoledì.
Quindi dipende davvero dall'organizzazione e da quei backup, e da quali processi di continuità aziendale sono orchestrati sul lato tecnologico.
Nella mia mente ci sono quattro modi per iniziare a frenare il problema del ransomware: il primo è la prevenzione. Questo è il mio preferito perché è come una sfera di influenza—è sotto il nostro controllo. È relativamente economico e proattivo.
Il secondo è la tecnologia, di cui stai parlando. Strumenti in grado di rilevare la minaccia, metterla in quarantena e ridurne al minimo l'impatto.
Il terzo sarebbe la politica. Quindi, in questo momento, se sei vittima di un ransomware, in molti casi hai due opzioni: paghi un riscatto o chiudi l'attività, oppure paghi un riscatto o licenzi il personale. Oppure, se sei un ospedale, paghi un riscatto o le persone muoiono, il che è una cosa reale. Sì. E credo che ci sia spazio per una terza opzione che potrebbe essere guidata dalla politica, che offre alle vittime un recupero sovvenzionato—un programma che le aiuta a non dover pagare un riscatto ma a rimanere in attività. Ed è qualcosa su cui sto lavorando a Washington.
L'ultimo [quarto] è il mio preferito ma il meno probabile. E queste sono conseguenze negative per i cattivi. [Risata.]. Ma come sai, la maggior parte dei cattivi opera in paesi ostili senza estradizione e con una sorta di amnistia non ufficiale da parte del loro governo.
Miller: Sì. E sono d'accordo. L'organizzazione con cui ho parlato è stata molto fortunata nella situazione in cui si trovava. Hanno detto che persino l'FBI, con cui stavano collaborando, ha detto loro che erano in una posizione migliore rispetto a quasi qualsiasi altra azienda che attraversa qualcosa del genere.
Minder: Beh, speriamo di poter rendere questo più la regola e non l'eccezione in futuro.
Miller: Ma mi piace dove stavi andando con l'angolo della prevenzione. Quindi quali sono alcune delle cose che le organizzazioni possono fare per essere proattive? Ad esempio, quanto può una buona igiene informatica aiutare un'organizzazione a respingere o minimizzare gli attacchi?
Minder: Penso che uno dei vantaggi di essere dalla parte della risposta—e questo vale sia per i tecnici che gestiscono gli incidenti sia per il lavoro che stiamo facendo—è che riusciamo a fare una sorta di inventario di come gli attori delle minacce ottengono accesso in ogni caso. E se li si sintetizza, si scopre che nella maggior parte dei casi, circa l'80 percento o più, erano in qualche modo prevenibili fin dall'inizio se avessero adottato alcune misure di igiene informatica di base, come hai detto.
È frustrante perché la maggior parte del nostro pubblico è probabilmente tecnico, probabilmente sono persone focalizzate sulla sicurezza informatica. Alzeranno gli occhi al cielo, e va bene. Non me ne offendo, perché parliamo di queste cose da molto tempo, ma in molte organizzazioni non vengono ancora messe in pratica o non vengono fatte bene. Cose come la politica delle password e la politica delle credenziali.
Quindi, password complesse, nessun riutilizzo delle password. E quando dico politica delle credenziali, intendo non utilizzare le credenziali aziendali per nulla di non correlato all'attività lavorativa. Non usarle per creare il tuo account Facebook… o per iscriverti al tuo sito hobbistico preferito, perché i malintenzionati stanno sottraendo le credenziali da quei siti e le stanno usando contro di noi.
Ovviamente parliamo molto di autenticazione a più fattori—che risolve molti problemi. Quindi, se non hai fatto le prime cose che ho detto, in molti casi l'MFA risolverebbe il problema per te.
Il patching—sai, ho lavorato nel campo della cybersecurity per tutta la mia vita adulta e comprendo le complessità nelle organizzazioni riguardo al patching, ma direi che anche il patching di base sembra essere ancora un problema—non sto parlando dei sistemi di controllo industriale; stiamo solo parlando dei laptop delle persone, dei loro browser Safari o qualunque cosa stiano usando, o dei loro cellulari. Faccio questa battuta quando tengo discorsi pubblici al riguardo: dico, so che è davvero fastidioso, quando stai facendo un ottimo gioco di parole, dover aggiornare il tuo cellulare, ma fallo comunque. E so che stai scorrendo ossessivamente Reddit e non vuoi riavviare il browser, ma fallo comunque… E rendi tutto ciò parte della politica e dell'igiene informatica dell'organizzazione.
Miller: Sì. Adoro questi consigli, e non si possono sottolineare abbastanza. Quindi quanto sta influenzando il divario di competenze informatiche sul ransomware? Alcuni potrebbero vederlo come un problema aziendale separato, ma vedi delle connessioni?
Minder: Assolutamente sì, e adoro questa domanda perché è una sorta di progetto a cui tengo particolarmente. C'è un problema di domanda e offerta con i talenti nella cybersecurity che lascia la maggior parte del mercato senza persone che possano aiutarli a colmare le loro lacune in materia di cybersecurity. E questo è dovuto alla carenza di talenti. Gli stipendi medi sono tutti ai vertici del mercato, e le persone motivate economicamente si orienteranno in quella direzione.
E quindi quando ci si trova nel mercato medio o più in basso, l'accesso a una vera competenza in cybersecurity è quasi inesistente. E la situazione non sta migliorando. Ad esempio, per ogni incidente di cybersecurity/attacco ransomware di cui sentiamo parlare al telegiornale, ci sono migliaia di piccole imprese che vengono colpite di cui non sentiamo parlare. Ma se sei una lavanderia, una tipografia o un piccolo studio contabile con cinque persone, è in un certo senso irragionevole aspettarsi che tu comprenda e mitighi i rischi associati a tutta la tua adozione tecnologica. Io non so come funziona il mio cellulare, e sono un esperto di tecnologia. È una scatola magica, no? Quindi aspettarsi che queste persone capiscano tutte queste cose è irragionevole.
Quindi come facciamo a portare competenze di base in cybersecurity a queste persone? Ho un'organizzazione no-profit che lavora su questo problema, ma ritengo che stia influenzando la sicurezza nazionale degli Stati Uniti e l'economia.
Miller: È bello sentire i tuoi pensieri a riguardo. Cambiando un po' argomento: l'anno scorso la compagnia assicurativa AXA ha annunciato che avrebbe sospeso le polizze di cyber assicurazione in Francia che rimborsano le aziende per i pagamenti di ransomware. Questo è avvenuto in risposta a una richiesta dei funzionari informatici del governo francese che stavano cercando di arginare la marea di attacchi ransomware in continuo aumento. Quali sono state le conseguenze da allora? E ha avuto un effetto sulla situazione?
Minder: Penso che ci sia un problema con questo tipo di misure, come rendere illegali i riscatti. È un po' come dire ai propri cittadini di fare un sacrificio per il bene comune.
A questo si aggiunge la domanda che hai posto prima, ovvero stai chiedendo a persone che non hanno alcuna capacità di difendersi di morire sostanzialmente sulla croce per tutti gli altri affinché nessuno paghi. Non credo che sia un approccio ragionevole. E probabilmente avrà un impatto maggiore sull'economia di quel paese. Quindi penso che l'istruzione e le competenze informatiche siano il modo giusto per affrontare il problema piuttosto che queste politiche punitive.
Miller: Potrebbe succedere qualcosa di simile a quello che è accaduto in Francia qui negli Stati Uniti?
Minder: È possibile; sai come può essere la politica [Risata.]. Ho qualche speranza, perché credo che le persone della CISA—Jen Easterly e il suo team—stiano guardando a questo attraverso la lente corretta, che è più un programma preventivo e di supporto. E stanno guidando parte di quella politica.
E sto facendo tutto il possibile per educare i legislatori della Camera e del Senato sulla realtà di questo e sul potenziale danno e impatto a lungo termine che ne deriva. Penso che spetti a noi esperti tecnici che siamo sul campo e in prima linea educare i legislatori, sia a livello locale che nazionale, ogni volta che ne abbiamo l'occasione, su cosa riguarda davvero tutto questo e su cosa significhi davvero essere una vittima, e sulle circostanze di questi attacchi—come non avere accesso a talenti informatici—in modo che non vedano questa situazione come puramente negativa o guardino alla vittima da una prospettiva negativa, perché sono come il resto di noi.
Queste aziende stanno semplicemente facendo il loro lavoro. Stanno facendo del loro meglio—specialmente le piccole imprese che hanno appena attraversato il COVID e i problemi della catena di approvvigionamento, e ora [se subiscono un attacco ransomware] dirgli che devono davvero chiudere l'attività o infrangere la legge.
Poi, con l'approccio legale a tutto questo, alcuni funzionari governativi credono che se lo rendiamo semplicemente illegale, le persone smetteranno di pagare i riscatti e i malintenzionati smetteranno di attaccare. Ma molto probabilmente quello che accadrà è che spingerete i comportamenti nell'ombra. Se ho una scelta, sai, come piccola impresa, tipo perdo la mia attività su cui ho lavorato per 18 anni oppure infrange la legge ma forse non vengo scoperto, probabilmente propenderò per la seconda opzione. Voglio mantenere i miei dipendenti e proteggere il mio investimento.
E quindi potremmo finire per perdere visibilità sul livello macro di questi attacchi. Penso che anche la CISA la pensi così. E spero che mantengano questa posizione.
Miller: Beh, abbiamo parlato di argomenti seri, e mi piacerebbe concludere con una nota positiva, quindi permettetemi di chiedere: qual è una delle vostre storie di successo preferite? Forse una situazione in cui all'inizio era disperata ma le cose si sono poi risolte davvero?
Minder: Oh, ne abbiamo un bel po', e alcune sono simili allo scenario in cui i backup hanno salvato la situazione.
Devo dire che c'è sempre qualche piccola nota a piè di pagina in questi scenari, perché gli attori della minaccia hanno effettivamente copiato una serie di dati. Lo venderanno, o lo scarteranno, nella maggior parte dei casi. C'è anche un lato divertente, dove alcuni attori delle minacce hanno un volume tale di vittime che a volte semplicemente dimenticano [Risata.]. Ci è capitato, dove stavamo aspettando che pubblicassero i dati come avevano minacciato, e non lo hanno mai fatto. Si dimenticano semplicemente. Hanno 200 vittime, e passano alla successiva.
Poi abbiamo avuto scenari in cui siamo riusciti a convincere gli attori delle minacce, come forma di prova, a pubblicare i file rubati sul dark web, e siamo stati in grado di recuperare i file di configurazione più critici e cose simili e ripristinarli. Quindi ne abbiamo avuti alcuni davvero buoni come questo.
I miei preferiti, però, sono l'impatto dei programmi di prevenzione e il lavoro no-profit che stiamo facendo, dove stiamo letteralmente aiutando le piccole imprese ad apportare questi cambiamenti gratuitamente, risolvendo allo stesso tempo il divario nelle competenze informatiche. E questo è il meglio, perché l'attacco non avviene nemmeno. Siamo in anticipo su di esso.
Miller: Questo è il meglio, e sono felice che ci siano persone come te là fuori per aiutarci a risolvere questo problema.
Minder: Grazie.
Miller: Fantastico. Beh, è stato davvero meraviglioso intervistarti oggi, Kurtis. Grazie mille per essere stato nel podcast.
Minder: Con piacere. Grazie per avermi invitato.
Miller: Ho parlato con Kurtis Minder, fondatore e CEO della società di ricognizione informatica GroupSense.
Se volete leggere di più sul ransomware, consultate Focal Point, il nuovo magazine online di notizie informatiche di Tanium. Abbiamo dei link a diversi articoli nelle note dello show, oppure andate su tanium.com per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi. Assicurati di iscriverti a Let's Converge sulla tua app podcast preferita, e se ti è piaciuto questo episodio, lasciaci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti sulla sicurezza informatica nel prossimo episodio di Let's Converge.
