Ransomware, cos’è, come si diffonde e come proteggersi

Un mattino arrivi in ufficio, accendi il computer e trovi un messaggio che non ti aspettavi: tutti i file aziendali sono stati cifrati. Per riaverli, devi pagare un riscatto in criptovaluta, entro un termine preciso. Se non paghi, i dati verranno pubblicati o eliminati definitivamente.

Non è uno scenario teorico. Il ransomware è oggi una delle minacce informatiche più diffuse e più costose per le aziende di ogni dimensione. Secondo i dati più recenti, ogni anno vengono colpite migliaia di organizzazioni in tutto il mondo e le PMI rappresentano una quota crescente dei bersagli, proprio perché spesso hanno meno difese delle grandi aziende.

Il ransomware è un tipo di malware o software malevolo, che cifra i file della vittima rendendoli inaccessibili, e poi chiede un riscatto (in inglese, ransom) per fornire la chiave di decifratura.

I ransomware moderni non si limitano a cifrare i file locali ma si diffondono nella rete aziendale, raggiungono i server, i backup collegati, i sistemi cloud sincronizzati. Alcune varianti, prima di cifrare, salvano una copia dei dati, così possono minacciare di pubblicarli online nel caso in cui l’azienda colpita dovesse avere un backup funzionante. Questa tecnica si chiama double extortion, doppia estorsione.

Ecco i vettori di attacco più comuni

Email di phishing

Il vettore più frequente. Un dipendente riceve un’email con un allegato malevolo, come un documento Word, un PDF, un file compresso o con un link che porta a una pagina che scarica il malware. L’email può sembrare provenire da un collega, da un fornitore, da un corriere, da una banca. Spesso è costruita in modo credibile e cadere in errore è davvero facile. Qui quello che è successo di recente al nostro CEO.

Credenziali compromesse e accesso remoto

Se le credenziali di un account aziendale vengono rubate, tramite phishing, data breach di altri servizi, o acquistate nel dark web, l’hacker può accedere direttamente ai sistemi aziendali tramite VPN, RDP (Remote Desktop Protocol) o altri strumenti di accesso remoto. Da lì, può installare il ransomware senza che nessun filtro email lo riesca ad intercettare.

Vulnerabilità non patchate

I sistemi non aggiornati hanno falle di sicurezza note che gli hacker sfruttano in modo automatizzato. Un server esposto su internet con una vulnerabilità non risolta è un bersaglio facile: esistono strumenti che scansionano continuamente la rete alla ricerca di sistemi vulnerabili e li attaccano senza intervento umano.

Software malevolo scaricato inconsapevolmente

Crack di software, plugin non ufficiali, download da fonti non affidabili: sono tutti potenziali vettori di ransomware. Il malware viene nascosto all’interno di un software apparentemente legittimo e si attiva dopo l’installazione.

Il ransomware moderno non si attiva immediatamente dopo l’ingresso nell’ambiente. Spesso rimane dormiente per giorni o settimane, durante i quali si diffonde silenziosamente nella rete, raggiunge il maggior numero possibile di sistemi, identifica e compromette i backup accessibili.

Solo quando ha raggiunto la massima diffusione possibile si attiva: cifra i file su tutti i sistemi compromessi in modo quasi simultaneo, massimizzando il danno e rendendo più difficile il contenimento.

A quel punto l’azienda si trova davanti a una scelta difficile: pagare il riscatto, senza garanzie di ottenere davvero la chiave di decifratura, o tentare il ripristino dai backup, se esistono e se non sono stati anch’essi compromessi.

La tentazione di pagare è comprensibile: i dati sembrano essere l’unica via d’uscita rapida. Ma pagare presenta problemi seri.

• non c’è garanzia che la chiave di decifratura funzioni e in alcuni casi non viene fornita nemmeno dopo il pagamento
• pagare finanzia le organizzazioni criminali che gestiscono il ransomware, incentivandole a continuare
• in alcuni paesi, pagare riscatti a gruppi criminali soggetti a sanzioni internazionali può avere implicazioni legali
• le aziende che pagano vengono spesso riattaccate, perché dimostrano di essere disposte a farlo

Le forze dell’ordine e le autorità di cybersicurezza di tutto il mondo raccomandano di non pagare e di segnalare subito l’attacco alle autorità competenti.

Backup isolati e verificati

È la misura più importante. Un backup funzionante, aggiornato e isolato dalla rete principale (così da non essere raggiunto dal ransomware durante la sua diffusione) permette di ripristinare i dati senza pagare il riscatto. Il backup deve essere testato periodicamente: un backup non verificato potrebbe non funzionare nel momento del bisogno.

Aggiornamenti sistematici

Mantenere aggiornati sistemi operativi, applicazioni e firmware degli apparati di rete elimina le vulnerabilità note che il ransomware sfrutta per entrare. Un sistema di patch management centralizzato garantisce che nessun dispositivo rimanga indietro.

Autenticazione a due fattori

Attivare il 2FA su tutti gli accessi critici come email, VPN, sistemi gestionali, cloud. Questo riduce drasticamente il rischio che credenziali compromesse vengano usate per accedere ai sistemi aziendali. Anche se le credenziali vengono rubate, senza il secondo fattore l’attaccante non riesce ad autenticarsi.

Formazione del personale

Poiché il phishing è il vettore più comune, la capacità dei dipendenti di riconoscere email sospette è una delle difese più efficaci. La formazione deve essere pratica, aggiornata e periodica non un corso da fare una tantum.

Segmentazione della rete

Dividere la rete aziendale in segmenti isolati limita la diffusione del ransomware in caso di infezione: se un dispositivo viene compromesso, il malware non riesce a raggiungere automaticamente tutti gli altri sistemi. È una misura tecnica che riduce significativamente l’impatto di un attacco.

Monitoraggio proattivo

Un sistema di monitoraggio attivo è in grado di rilevare comportamenti anomali come accessi inusuali, cifratura massiva di file, traffico sospetto, molto utile nelle fasi iniziali dell’attacco, prima che il ransomware si attivi completamente. Intervenire in queste fasi può fare la differenza tra un incidente contenuto e uno devastante.

Piano di risposta agli incidenti

Avere una procedura definita per gestire un attacco ransomware, decidere chi viene avvisato, in quale ordine, quali sistemi vengono isolati prima, come si attiva il ripristino, permette di reagire in modo rapido e coordinato invece di improvvisare sotto pressione.

In Easy Pc affianchiamo le aziende nella costruzione di una protezione strutturata contro il ransomware: dalla configurazione di backup isolati e verificati al monitoraggio proattivo dei sistemi, dalla formazione del personale alla definizione di piani di risposta agli incidenti.

Non esiste una protezione al 100% ma esiste la differenza tra un’azienda che gestisce un attacco e una che ne viene travolta. Quella differenza si costruisce prima.

Vuoi valutare il livello di protezione della tua azienda?