Ransomware 101: Mitigare il rischio legato alla realtà odierna del ransomware
Il ransomware è una spiacevole realtà per le moderne aziende digitali, ma esistono strumenti, tecnologie e best practice che aiutano le organizzazioni di sicurezza a evitare di cadere vittime di malintenzionati.
Definizione
Che cos’è il ransomware?
Il ransomware è emerso alla fine degli anni ’80 e da allora è diventato una delle principali minacce per le aziende di tutto il mondo.
Il ransomware si è evoluto dai floppy disk infetti fino a comprendere numerose varianti, ma in generale si tratta di un tipo di malware progettato per impedire l’accesso a dati o sistemi fino al ricevimento di un pagamento – o riscatto. Questa tecnica di estorsione digitale spesso danneggia i file e causa la fuga di dati, ma in alcuni casi si limita a bloccare l’accesso fino al pagamento del riscatto. Il ransomware spesso crittografa i file sull’endpoint, minacciando di cancellarli: secondo un rapporto, fino al 43% dei dati risulta irrecuperabile dopo un attacco ransomware. Alcuni casi di ransomware includono minacce di divulgazione di dati riservati relativi all’azienda, ai clienti, ai dipendenti o ai partner, estratti e raccolti a seguito dell’attacco.
Basti considerare solo alcune di queste statistiche: il ransomware ha costretto circa il 25% delle aziende a chiudere i battenti, costa circa 11.600 dollari per ogni minuto di inattività e induce il 70% dei clienti a dichiarare che non intratterrà più rapporti commerciali con un determinato marchio. In ogni caso, le aziende vogliono evitare a tutti i costi di cadere vittime del ransomware – ma ciò è improbabile, dato che la sua diffusione continua a crescere. L’approccio migliore è quindi un piano di Recovery completo in caso di attacco da ransomware, per riportare le aziende online e garantire la sicurezza dei dati.
Come mitigare il rischio
Ransomware 101: mitigare il rischio nell’attuale panorama del ransomware
Il ransomware è una spiacevole realtà per le moderne aziende digitali, ma esistono strumenti, tecnologie e best practice che aiutano i responsabili della sicurezza a evitare di cadere vittime di malintenzionati e a ridurre al minimo i danni nel caso in cui subiscano un attacco.
Cosa tiene svegli la notte i responsabili della sicurezza? L’elenco potrebbe essere infinito, ma nel 2024 il ransomware sarà probabilmente in cima alla lista degli attacchi più temuti dalle organizzazioni aziendali.
Il ransomware non solo limita l’accesso ai sistemi essenziali, ma esige anche un riscatto e provoca la fuga di dati. I responsabili della sicurezza devono proteggere i propri ambienti da questi attacchi malevoli e, cosa ancora più importante, elaborare una strategia di Recovery che riporti l’azienda a uno stato sicuro e verificabile.
Il ransomware sta devastando i sistemi informatici da circa 35 anni e il software dannoso creato da malintenzionati che sferrano attacchi contro aziende, organizzazioni e individui non mostra segni di rallentamento, poiché gli ambienti diventano sempre più sofisticati e il mondo è più connesso che mai.
Secondo un rapporto del SANS Institute basato sui dati di eCrime.ch, gli attacchi ransomware sono aumentati di quasi il 73% dal 2022 al 2023, con un totale di 4.611 casi segnalati nel 2023. Gli osservatori del settore stimano che i costi dei danni causati dal ransomware a livello mondiale raggiungeranno i 265 miliardi di dollari entro il 2031; inoltre, mentre l’80% delle organizzazioni è stato colpito dal ransomware nel 2021, il 60% dei responsabili delle decisioni in materia di sicurezza ha dichiarato che il ransomware è grave quanto il terrorismo. La gravità degli attacchi può paralizzare o distruggere un’azienda sia dal punto di vista finanziario che attraverso il danno d’immagine – e può avere persino implicazioni letali quando gli operatori sanitari sono gli obiettivi.
Prevenzione
Come prevenire un attacco
Stare al passo con le minacce informatiche in aumento e in continua evoluzione è più di un lavoro a tempo pieno; è un compito che spetta a tutti all’interno dell’organizzazione. Man mano che gli autori degli attacchi e le vulnerabilità diventano più sofisticati, lo stesso devono fare i responsabili della sicurezza, le organizzazioni IT, i dipendenti e gli utenti finali.
La prevenzione degli attacchi ransomware inizia con l’informazione e la formazione. Esistono diverse best practice che dovrebbero essere diffuse all’interno delle organizzazioni per contribuire a ridurre il rischio di consentire involontariamente l’esecuzione del ransomware in un ambiente. È opportuno creare team interfunzionali all’interno dell’organizzazione per comunicare le best practice e istruire i partecipanti su cosa non fare.
Non cliccare mai su link sconosciuti o non sicuri: cliccare su link presenti nelle e-mail o sui siti web potrebbe innescare il download automatico di un ransomware che infetterà il computer e la rete a cui è collegato.
Non divulgare informazioni personali: condividere informazioni personali con terze parti non affidabili tramite telefono, e-mail o SMS potrebbe fornire a un malintenzionato informazioni sufficienti per ideare uno schema di phishing che includa il ransomware.
Non aprire mai allegati e-mail sospetti: l’apertura di un allegato proveniente da una fonte non attendibile o sconosciuta potrebbe avviare un ransomware. Non aprire allegati che richiedono l’esecuzione di macro, poiché spesso si tratta di un malintenzionato che sta cercando di accedere al sistema.
Evitate le chiavette USB sconosciute: collegare al computer supporti di memorizzazione di provenienza sconosciuta potrebbe infettare il computer e l’ambiente circostante.
Controllate i file scaricati dai siti web: scaricare file da siti non protetti può causare un’infezione da ransomware. I siti web con https anziché http indicano che sono sicuri, e anche la presenza di un simbolo a forma di scudo o lucchetto nella barra degli indirizzi è indice di sicurezza.
Utilizzate servizi VPN sulle reti pubbliche: l’utilizzo di reti Wi-Fi pubbliche può rendere un sistema vulnerabile. Assicuratevi di utilizzare servizi VPN sicuri quando accedete a reti Wi-Fi pubbliche.
Mantenete aggiornati i sistemi operativi: trascurare l’aggiornamento dei programmi comporterà vulnerabilità del sistema. Assicuratevi di applicare tutti gli aggiornamenti necessari del sistema operativo e le patch di sicurezza per evitare di esporre i sistemi ad attacchi.
Rafforzare gli endpoint: configurare i sistemi tenendo conto della sicurezza limiterà la superficie di attacco di un’organizzazione e colmerà le lacune di sicurezza lasciate dalle configurazioni predefinite.
Verificare le impostazioni delle porte: valutare se un’organizzazione debba lasciare aperte alcune porte e, in tal caso, limitare le connessioni solo a host conosciuti e affidabili. Verificare le impostazioni sia per gli ambienti on-premise che per quelli cloud e disabilitare le porte RDP (Remote Desktop Protocol) inutilizzate.
Implementare un sistema di rilevamento delle intrusioni (IDS): l’implementazione di un sistema di rilevamento delle intrusioni per individuare attività dannose avviserà l’organizzazione di potenziali attacchi non appena rileva attività sospette.
I responsabili della sicurezza e le organizzazioni IT dovrebbero comunicare agli utenti finali e alle parti interessate aziendali l’importanza di applicare queste best practice in un ambiente interconnesso per evitare gli attacchi. Tuttavia, i criminali informatici continueranno a insistere e a tendere trappole che rendono il ransomware, nel mondo digitale moderno, una realtà ineludibile del mondo degli affari. Il miglior approccio alternativo alla prevenzione è il Recovery rapido.
Recupero
Come riprendersi rapidamente con danni minimi
Un attacco ransomware ha lo scopo di causare danni a un’organizzazione e procurare un guadagno economico al malintenzionato. Per riprendersi più rapidamente da un attacco, le vittime del ransomware dovrebbero disporre di un piano di risposta agli incidenti.
Un piano di risposta agli incidenti aiuterà un’organizzazione a prepararsi, a reagire e a riprendersi da un incidente causato da un ransomware. I responsabili della sicurezza dovrebbero fornire indicazioni sulle attività e sulle responsabilità chiave per accelerare il tempo totale necessario al ripristino e al recupero dei dati. Il tempo di ripristino dopo un attacco può variare da pochi giorni a diversi mesi, con una media di circa tre settimane.
Alcuni passaggi chiave di un piano di Recovery da un attacco ransomware includono:
Proteggere il perimetro: al primo segno di un attacco, assicurarsi di bloccare i sistemi. Si stima che la finestra temporale di un attacco ransomware sia di 84 minuti: questo è il tempo a disposizione prima che i dati vengano resi inutilizzabili, sottratti o distrutti. Chiudere tutti i punti di ingresso e di accesso all’azienda, sapendo quali risorse esistono, a cosa danno accesso e come disattivarle tutte.
Valutare il danno: una volta messo in sicurezza l’ambiente, valutare l’entità del danno causato dall’attacco. Identificare quali dati sono stati esposti o sono trapelati e determinare l’impatto in termini di normative di settore, statali, federali e internazionali. Comprendere gli obblighi di divulgazione e comunicare tra i vari team su come soddisfare al meglio tali requisiti.
Determinare la causa: è fondamentale comprendere come o perché l’organizzazione sia caduta vittima di un attacco ransomware. Il perimetro era non protetto? Erano in atto controlli adeguati per rilevare rapidamente l’attacco? L’organizzazione ha condotto una formazione di sensibilizzazione alla sicurezza informatica sufficiente a prevenire i tentativi di phishing? Esiste un piano di protezione dei dati in grado di salvaguardare le informazioni dei clienti? Comprendere come l’attacco ransomware abbia potuto verificarsi all’interno di un’organizzazione contribuirà in modo significativo a prevenire future violazioni.
Recuperare i dati: ripristinare i dati necessari da un backup precedente all’infezione da ransomware. È importante identificare un punto di ripristino precedente all’infezione ed effettuare inizialmente il ripristino in un ambiente sandbox, in modo che il ransomware non venga reintrodotto nell’ambiente di produzione.
Comunicare con le parti interessate: siate trasparenti con le principali parti interessate. L’amministratore delegato e i dirigenti di alto livello devono essere informati il prima possibile e devono avvisare il consiglio di amministrazione. Ma le persone più importanti sono quelle colpite dalla violazione, come clienti, partner o dipendenti, che devono essere informate il prima possibile.
Eseguire un’analisi post-attacco: condurre un audit di sicurezza per individuare i punti deboli e rivedere le politiche, le protezioni degli endpoint, i controlli di sicurezza e le configurazioni. Identificare le vulnerabilità e le aree di miglioramento per aiutare l’organizzazione ad agire in modo più efficace in futuro e rafforzare la resilienza contro attacchi futuri.
Per molte aziende, il ransomware è una realtà inevitabile. È fondamentale creare un piano di risposta agli incidenti per proteggere l’ambiente dagli attacchi, istruire i dipendenti e gli utenti finali su come evitare i fattori scatenanti e reagire rapidamente per evitare danni e recuperare i dati. Senza una adeguata Readiness al ransomware, le aziende corrono un rischio elevato di cadere vittime di attacchi, subendo perdite di dati, minacce alla sicurezza e costosi tempi di inattività aziendale in un’era in cui utenti e aziende richiedono che i propri dati siano accessibili e disponibili 24 ore su 24.
Ransomware 101
Demo sul ripristino dopo un attacco ransomware
