Ransomware, anche per le PMI è il rischio cyber numero 1

Molti analisti hanno definito il 2021 l’anno del ransomware, per il cambio di passo sia nel numero degli attacchi, sia nell’entità dei danni provocati. Per avere un’idea, Bitdefender in questa infografica ha raccolto alcuni dati sulla vastità del fenomeno. Nel 2021 il numero di attacchi ransomware a livello globale è raddoppiato, da 304 milioni a 604, e la percentuale di aziende colpite è salita dal 62,4% al 68,5%. Il riscatto medio richiesto è di oltre 700mila dollari, mentre il riscatto medio effettivamente pagato è salito in un anno da 312mila a 570mila dollari.

E in Italia? Secondo il rapporto Clusit, nel nostro paese nei primi 8 mesi del 2021 si sono registrati 36 milioni di eventi malevoli, quasi il triplo rispetto allo stesso periodo del 2020 (+180%). Tra questi, il fenomeno più preoccupante sono proprio gli attacchi ransomware con richiesta di riscatto, aumentati addirittura del 350%. Attacchi tra l’altro sempre più aggressivi, e con conseguenze ancora più evidenti, spiega il Clusit, che cita il blocco dei sistemi informativi e quindi delle attività di diverse strutture pubbliche, che ha colpito indirettamente milioni di cittadini italiani.

Tutti noi ormai abbiamo sentito racconti di prima mano di persone che lavorano in organizzazioni colpite da questi attacchi. E infatti diversi centri di ricerca del settore cybersecurity parlano di alte percentuali di aziende italiane che si sono viste bloccare sistemi informativi e dati con richieste di riscatto, e collocano l’Italia ai primi posti in Europa o nel mondo nella classifica dei paesi più colpiti.

Gli attacchi ransomware quindi non sono più notizie per addetti ai lavori: oggi finiscono sulle prime pagine dei siti di news e in TV, e praticamente tutti sanno di cosa si tratta. Anche perché i bersagli non sono più solo grandi aziende e istituzioni, ma anche piccole e medie imprese e studi professionali. Secondo il Verizon Data Breach Investigations Report 2021, il ransomware è ormai al numero 1 tra i rischi di cybersecurity anche per le piccole aziende tra 1 e 10 addetti.

Il primo ransomware, spedito dalla buca delle lettere

Il ransomware non è un fenomeno dell’era digitale: queste tecniche sono nate oltre trent’anni fa, ma man mano si sono evolute, e oggi sono pericolose per tutti. Il primo attacco è avvenuto nel 1989, addirittura attraverso la posta cartacea ordinaria. Joseph Popp, docente di Harvard, spedì infatti 20mila floppy disk infettati con un trojan che modificava il file AUTOEXEC.BAT, e criptava i nomi dei file in esso contenuti. La chiave di decrittazione si poteva ottenere spedendo 189 dollari a una casella postale di Panama. Popp non era un informatico, era un biologo: quando venne catturato spiegò di aver ideato l’attacco per devolvere i proventi del ricatto alla ricerca sull’AIDS.

Restò un episodio quasi isolato, almeno fino alla diffusione planetaria dell’uso di internet, che creò i presupposti per rendere il ransomware un micidiale strumento di estorsione.

Le tecniche di ransomware come accennato hanno avuto una vera e propria evoluzione darwiniana, ed è per questo che restano anno dopo anno una minaccia. La prima generazione si basava sulla crittografia simmetrica, nel senso che le chiavi di crittatura e decrittazione erano le stesse e si potevano estrarre dai trojan, cosa che rendeva la vita facile ai fornitori di software di cybersecurity.

Quindi venne la crittatura asimmetrica, basata su un meccanismo più complicato in cui ogni macchina infetta richiede una specifica chiave, che non viene mai consegnata all’attaccato, e diventa utile solo se quest’ultimo consegna l’archivio criptato all’hacker dopo avere pagato il riscatto, sperando di vederselo riconsegnare sbloccato.

WannaCry e l’era del Ransomware-as-a-service

L’evoluzione successiva si è concentrata sul meccanismo di distribuzione, che fino ad allora si basava su spam o phishing e colpiva un bersaglio alla volta. Nel 2017 il worm WannaCry ha cambiato tutto: una volta entrato nei sistemi di un’azienda, era capace di diffondersi rapidamente sfruttando una vulnerabilità di SMB, un protocollo usato soprattutto dai sistemi Windows.

Anche in questo caso però l’industria cybersecurity ha trovato delle soluzioni, e così il ransomware è evoluto ancora, vedendo sorgere delle vere e proprie filiere, in cui gruppi criminali specializzati mettono insieme le infrastrutture di attacco e le varianti di malware, e le mettono a disposizione attraverso modelli detti “Ransomware-as-a-service” (RaaS), di singoli esperti (affiliates) capaci di trovare i punti deboli delle specifiche reti dell’organizzazione da attaccare.

Queste collaborazioni funzionano perché si basano su modelli di “profit sharing”, in cui sono gli affiliates a ricevere la maggiore fetta del riscatto. Mentre i gruppi criminali – ormai vere e proprie multinazionali, basti pensare che ben il 60% di tutti gli attacchi sono riconducibili a soli tre gruppi: Conti, Avaddon e REvil – conducono le trattative con le organizzazioni attaccate e ottengono visibilità grazie all’esposizione mediatica.

Perché le PMI sono ormai il principale bersaglio

Un meccanismo del genere chiaramente può contare su economie di scala, e i cybercriminali non hanno più quelle limitazioni di risorse che li obbligavano a concentrare i loro attacchi solo su poche grandi organizzazioni. È bene sottolineare che secondo diverse indagini e ricerche le piccole e medie imprese percentualmente sono ormai il principale bersaglio degli attacchi ransomware: le più colpite sono quelle dei settori servizi professionali, informazione, sanità e finance.

Molte PMI semplicemente hanno fatturati e utili molto alti rispetto allo sforzo necessario per violare i loro sistemi. Molte altre hanno dati e informazioni che possono essere strumenti di ricatto: brevetti industriali di componenti per grandi aziende clienti, informazioni sensibili di migliaia di cittadini e consumatori, dettagli di importanti contratti pubblici, e così via. Inoltre spesso in caso di stop prolungato dei sistemi o di perdita di importanti volumi di dati le PMI rischiano la loro stessa esistenza, per cui sono più soggette a cedere al ricatto.

Una strategia proattiva a diversi livelli

Ma come può una PMI rispondere adeguatamente a questo rischio? La prevenzione degli attacchi ransomware richiede un approccio di cybersecurity a vari livelli tra cui:

– costante monitoraggio di reti ed endpoint;

– capacità di individuare potenziali email di phishing

– capacità di bloccare l’accesso a URL e allegati malevoli

– capacità di individuare e prevenire exploit zero day

– periodica estrazione di backup di file e archivi a prova di manomissione che permettano di riavviare le attività in tempi brevi in caso di attacco.

Occorre insomma una strategia di cybersecurity proattiva estesa a tutta la superficie di attacco – dai desktop ai laptop alle porte di rete – e capace di rispondere a tutti i tipi di minacce, anche quelle mai emerse in precedenza.

Fulvio Fabi, national channel manager di Bitdefender

“È certamente un impegno difficile e gravoso per le capacità della maggior parte delle PMI. Per questo Bitdefender ha studiato a fondo da una parte tutti i più aggiornati elementi tecnici del problema ransomware, e dall’altra le strategie ottimali di cybersecurity a portata di PMI, sviluppando diversi tipi di soluzioni”, spiega Fulvio Fabi, National Channel Manager Italia di Bitdefender.

Alcune sono in grado di aiutare in modo decisivo le piccole e medie imprese che hanno una funzione di cybersecurity interna in grado di gestire e portare avanti una strategia proattiva efficace. E altre, della famiglia MDR (Managed Detection and Response), sono indirizzate principalmente ai sempre più numerosi fornitori di servizi di sicurezza gestiti (MSSP, Managed Security Service Provider) che possono realizzare strategie di cybersecurity proattiva per conto delle molte PMI che non hanno le risorse economiche e le competenze digitali interne per farlo da sole.

“Le azioni e le tecnologie di prevenzione sono sempre state fondamentali per respingere le minacce cyber, spiega Bitdefender, ma nel caso del ransomware per come è diventato oggi le tecniche di difesa si concentrano sulle capacità di detection and response. Il rischio di essere attaccati non si può eliminare, ma si può affrontare con l’appropriata dotazione tecnologica, e con best practice realizzate da risorse interne, o da fornitori specializzati di servizi gestiti”, conclude Fabi.