Attacco ransomware sventato: la rapida Recovery di Bilthoven Biologicals con Commvault

Riduzione del rischio di attacchi ransomware

Fondata dal Gruppo Cyrus Poonawalla dopo la privatizzazione dell’Istituto olandese per i vaccini nel 2012, Bilthoven Biologicals (BBio) sviluppa e fornisce vaccini contro la poliomielite all’Organizzazione Mondiale della Sanità, all’UNICEF e a molti paesi in tutto il mondo. Con un team di esperti motivati che lavora 24 ore su 24, BBio fornisce vaccini accessibili e di alta qualità che aiutano a prevenire malattie potenzialmente letali.

Per portare avanti la propria missione di produrre vaccini per un mondo migliore, è fondamentale che BBio protegga i propri dati dagli attacchi ransomware e garantisca operazioni di produzione senza intoppi.

“Non è possibile prepararsi completamente al ransomware, poiché non si sa quando colpirà. Ai malintenzionati basta trovare un solo punto debole per attaccare i dati della propria organizzazione”, ha affermato Paul Vries, consulente IT presso Bilthoven Biologicals. “In qualità di reparto IT, dobbiamo sempre assicurarci che tutto sia al sicuro. Con Commvault, possiamo creare un meccanismo di difesa per prevenire gli attacchi informatici e consentire un Recovery rapido”.

Ripristino dei dati in tutta semplicità

BBio ha subito il suo primo grave attacco ransomware il 21 settembre 2022. Tutto è iniziato con alcune chiamate da parte di utenti che non riuscivano ad accedere al proprio account o ai propri file. Dopo aver effettuato alcune ricerche, Vries ha scoperto una richiesta di riscatto in cui si affermava che i file erano stati crittografati e si esigeva un pagamento per ottenerne la decrittografia.

«Il ransomware si è diffuso attraverso il campo del dominio e lo stabilimento. In pratica, tutto ciò che era collegato ad Active Directory è stato compromesso», ha affermato Vries. «Abbiamo dovuto agire rapidamente per fermare la diffusione, poiché non eravamo certi dell’esatta portata dell’impatto».

Vries ha immediatamente contattato la direzione e il team di sicurezza informatica di BBio, oltre a KEMBIT, il fornitore di servizi gestiti dell’azienda, per analizzare la situazione e stabilire le azioni successive. La loro prima risposta è stata quella di disconnettere la rete e spegnere i server e le macchine virtuali infettate dall’attacco, lasciando accese le macchine non colpite per ridurre al minimo l’impatto sul processo di produzione dei vaccini.

Un altro passo importante è stato informare i dipendenti di quanto stava accadendo, affinché comprendessero la gravità della situazione.

Il secondo giorno dell’attacco, Vries e il team sono riusciti a riportare online Active Directory e l’ambiente Commvault. Dopo aver ricostruito il sistema Commvault Cloud Backup and Recovery, Vries ha affermato che ripristinare il servizio è stato facile e immediato.

“Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic possiamo ripristinare una macchina virtuale o i backup dopo un attacco, il che è fondamentale nel nostro settore, essendo un’azienda farmaceutica che gestisce dati estremamente sensibili”, ha affermato Vries. "Commvault ci dà la certezza che i nostri dati sono al sicuro e che i nostri servizi importanti possono essere operativi rapidamente".

Poiché Commvault era così facile da usare, il team ha potuto alternarsi nel ripristino dei servizi aziendali per tutta la notte, fino a quando tutto è stato riportato alla normalità. Grazie alla collaborazione tra il team IT, KEMBIT e Commvault, BBio è riuscita a ripristinare completamente il servizio in più uffici e nel proprio stabilimento in soli nove giorni.

“Se non avessimo avuto Commvault e i backup non fossero stati effettuati prima dell’attacco, la situazione avrebbe potuto essere ben peggiore”, ha affermato Vries.

Creazione di un piano di ripristino di emergenza

Dopo l’incidente causato dal ransomware, BBio e il team IT hanno tratto alcune lezioni importanti.

«Prima dell’attacco non avevamo un piano di Recovery in atto», ha affermato Vries. «Ora stiamo collaborando con Commvault per elaborare un piano di Recovery di emergenza, in modo da capire meglio quali elementi sia importante riattivare per primi e in quale ordine».

Alcuni file non sono stati crittografati durante l’attacco perché BBio aveva spostato gli agenti multimediali al di fuori del dominio. Con il passaggio a Microsoft 365, l’azienda sta inoltre implementando Commvault Cloud Air Gap Protect insieme a Commvault Cloud Backup and Recovery per semplificare ulteriormente i backup nell’ambiente ibrido e rafforzare la protezione dal ransomware.

"Con Commvault e Commvault Cloud Air Gap Protect, possiamo gestire, proteggere e recuperare facilmente i dati all'interno di cloud e on-premise, anche nel peggiore dei casi", ha affermato Vries.