Il ransomware e il suo impatto sulla tua azienda

Tipologie di ransomware

Esistono diversi tipi di ransomware, da quelli rivolti alle piccole e medie imprese agli attacchi contro grandi organizzazioni e strutture sanitarie governative. Anche l'entità del riscatto può variare, da centinaia di dollari a milioni.

Ransomware Cryptolocker

Cryptolocker è in circolazione dal 2013 ed è ritenuto il primo esempio di ransomware dopo l'attacco originale del 1989. Con l'introduzione delle criptovalute intorno al 2010, i criminali informatici hanno potuto chiedere denaro tramite un metodo di pagamento non rintracciabile. Cryptolocker è stato il primo attacco ransomware a utilizzare il criptaggio avanzato e a includere una richiesta di riscatto con le indicazioni per il pagamento in Bitcoin.

Il malware ha portato avanti l'attacco da settembre fino al maggio successivo, infettando 250.000 dispositivi e fruttando almeno 3 milioni di dollari ai criminali informatici. Cryptolocker è distinguibile dalla richiesta di riscatto che appare sullo schermo.

Ransomware Ryuk

Il ransomware Ryuk è nato nel 2018 sulla base di un programma Trojan horse esistente, Hermes, che era stato utilizzato per la prima volta consapevolmente nel 2017. Mentre Hermes è stato utilizzato in un attacco da parte di un gruppo di criminali informatici sponsorizzato dallo stato nord-coreano, ora è opinione diffusa che il malware sia stato sviluppato in Russia.

Nel 2021 è stata rilevata una nuova variante di Ryuk dai tratti simili a quelli di un worm, in grado di passare automaticamente da un dispositivo all'altro mentre il programma diffonde copie di versioni uniche di se stesso.

Ransomware WannaCry

Riconoscere i segnali di un'infezione da ransomware WannaCry è semplice: comparirà la riga "Oops, i tuoi file più importanti sono stati criptati". L'attacco è stato utilizzato per la prima volta nel 2017, quando più di 230.000 computer sono stati infettati in un giorno.

In ogni attacco, i criminali informatici addebitano 300 dollari in bitcoin per il decriptaggio dei file, raddoppiando la cifra se i soldi non vengono versati in tempo. Anche WannaCry è un malware basato su worm in grado di viaggiare automaticamente attraverso le reti.

Ransomware Sodinokibi

Sodinokibi è una famiglia di ransomware che prende di mira i dispositivi Windows. Un segnale di infezione da ransomware Sodinokibi, noto anche con il nome di REvil, è la comparsa sullo schermo di una richiesta di riscatto: bitcoin in cambio del decriptaggio di tutti i file. Questo malware prende di mira tutto quello che si trova in un dispositivo tranne quanto elencato nel file di configurazione. Il malware è stato utilizzato per la prima volta nel 2019.

Ransomware Dharma e Phobos

Conosciuto anche come CrySiS, il ransomware Dharma è noto per colpire le piccole e medie imprese e richiedere riscatti più piccoli per aumentare la probabilità che le vittime paghino.

Il ransomware attacca in genere tramite Remote Desktop Protocol ed è stato rilevato per la prima volta nel 2016. Il malware è stato la base per la creazione del ransomware Phobos, che funziona in modo analogo.

Ransomware Petya

Il ransomware Petya ha bisogno di criptare i file per funzionare e, mentre altri malware possono criptare dati critici specifici, Petya può colpire l'intero disco rigido e impedire l'accensione del dispositivo. Il ransomware è stato utilizzato per la prima volta nel 2016, ma si è fatto un nome nel 2017 con una nuova variante nota come GoldenEye.

Ransomware Cerber

Cerber è un esempio di ransomware-as-a-service (RaaS), basato sul modello software-as-a-service. I creatori di malware concedono in licenza Cerber ad altri criminali informatici e, in cambio, ottengono una riduzione del riscatto. Una volta infettato, un dispositivo mostrerà la richiesta di riscatto di Cerber sullo schermo. Il malware può anche criptare i file su qualsiasi condivisione di rete non mappata.

Ransomware Locky

Rilevato per la prima volta nel 2016, il ransomware Locky si diffonde tramite email. È noto per aver preso di mira un ospedale con sede a Los Angeles e aver chiesto 17.000 dollari. Questo attacco è stato seguito da altri contro numerose organizzazioni sanitarie. Tuttavia, non ci sono stati attacchi di alto profilo basati su Locky da quell'ondata iniziale.

Case study sul ransomware

Il ransomware ha avuto un impatto enorme sul mondo digitale, estorcendo miliardi di dollari alle proprie vittime nel corso degli anni. Diamo un'occhiata ad alcuni degli esempi più significativi degli attacchi ransomware più dirompenti e costosi:

• Settembre 2013, Cryptolocker: il malware Cryptolocker è stato rilasciato come il primo ransomware a essere chiamato come tale, dopo il Trojan AIDS nel 1989. Per fermare questo ransomware, sono stati coinvolti l'Interpol e l'FBI.
• Maggio 2017, NHS: durante un attacco globale WannaCry, il servizio sanitario nazionale del Regno Unito è stato vittima di uno degli esempi di ransomware più dirompenti del paese. Con i sistemi inattivi, tutti gli appuntamenti sono stati cancellati e il personale ha dovuto ricorrere a carta e penna. In totale, l'attacco WannaCry ha infettato 200.000 computer in 150 paesi, costando 4 miliardi di dollari, nello specifico 92 milioni di sterline per il sistema sanitario britannico.
• Marzo 2018, città di Atlanta: il governo di questa città della Georgia è stato attaccato dal ransomware SamSam nel 2018. Il governo ha speso più soldi per replicare all'attacco (2,6 milioni di dollari) rispetto al costo effettivo del riscatto (circa 50.000 dollari).
• Maggio 2019, città di Baltimora: gli hacker hanno preso di mira Baltimora nel 2019 con un ransomware chiamato RobbinHood, che ha attaccato buona parte dei computer del governo municipale. I criminali hanno chiesto 13 bitcoin (76.280 dollari), dicendo che il prezzo sarebbe aumentato se non avessero ricevuto il pagamento entro quattro giorni e che tutti i dati sarebbero stati cancellati definitivamente dopo 10 giorni. Alla fine i sistemi sono stati ripristinati senza che la città abbia dovuto pagare il riscatto.
• Giugno 2020, Università della California San Francisco: il college ha pagato 1,14 milioni di dollari dopo aver combattuto per un mese con il ransomware Netwalker. Il riscatto iniziale era di 4 milioni di dollari, ma l'università ha negoziato il prezzo abbassandolo.
• Settembre 2020, clinica universitaria di Düsseldorf: l'attacco di Ryuk contro la struttura sanitaria tedesca, la clinica universitaria di Düsseldorf, ha portato alla morte di un paziente che non era in grado di accedere alle cure richieste.
• Aprile 2021, Quanta: il recente attacco ransomware basato sull'utilizzo di Sodinokobi ha visto il produttore di Macbook Quanta affrontare un riscatto di 50 milioni di dollari. L'azienda si è rifiutata di pagare la somma richiesta e i criminali informatici hanno divulgato pubblicamente informazioni sui Macbook.

I costi di un attacco ransomware

Cadere vittima di un attacco ransomware è una pessima notizia per le finanze della tua azienda, non solo per l'entità del riscatto, ma anche perché potresti ricevere una multa da parte delle autorità di regolamentazione della privacy dei dati o perdere un affare per via dell'impatto negativo in termini di fiducia dei clienti.

Secondo Cybersecurity Ventures, il costo dei soli attacchi ransomware globali per il 2021 è stato stimato in 20 miliardi di dollari e si ritiene che un'azienda subisca l'attacco di un malware ogni 11 secondi. Inoltre, le organizzazioni europee devono far fronte a ulteriori multe in termini di GDPR per operazioni di sicurezza scadenti. Nel 2020, British Airways ha dovuto pagare una multa di 20 milioni di sterline ricevuta dall'ente di controllo, a fronte di una multa iniziale di 183 milioni di sterline.

Se la perdita economica non è un fattore sufficiente, sono da considerare anche i problemi che molte aziende, specialmente quelle più piccole, incontrano per riprendersi. Circa il 60% delle piccole imprese chiude dopo essere stato vittima di una violazione dei dati. Nel 2020, The Heritage Company, una società di telemarketing con sede in Arkansas, ha chiuso in seguito a una fuga di dati dovuta a un attacco ransomware del 2019. Che si tratti dei costi di gestione dell'attacco, delle operazioni di ripristino o della perdita di clienti, il recupero dopo un attacco ransomware può avere un impatto decisivo su un'azienda.

In che modo un'azienda può contrarre il ransomware?

Quando un'azienda non dispone di misure di sicurezza efficaci, diventa vulnerabile agli attacchi informatici.

La mancanza di formazione del personale è una vulnerabilità chiave per le imprese. Se i dipendenti non sanno come individuare un'email sospetta, rilevare il ransomware e segnalare un problema, corrono il rischio di infettare i dispositivi e l'intera rete. Ad esempio, potrebbero non essere consapevoli del fatto che i loro dispositivi sono suscettibili agli attacchi o ai rischi di ransomware per Mac o Linux. Anche se questi due operatori possono avere una reputazione migliore in termini di maggiore sicurezza integrata rispetto a Windows, sono comunque a rischio di una minaccia informatica.

Anche le app di terze parti possono costituire un punto di ingresso da cui i criminali informatici riescono a penetrare nella rete. Potrebbe essere più semplice accedere a un'app che al tuo sistema e questa apertura potrebbe essere sfruttata per infettare i dispositivi con il malware.

Mentre il personale può creare delle vulnerabilità, un'azienda sicura avrà uno strumento antivirus funzionante in grado di fornire protezione contro potenziali software dannosi scaricati accidentalmente. L'antivirus deve essere regolarmente aggiornato (o dotato di patch) per correggere i bug e risolvere le vulnerabilità: un software senza patch potrebbe creare crepe nelle tue difese.

Come prevenire gli attacchi ransomware

Esistono molti modi efficaci per proteggere la tua azienda da un attacco ransomware ed evitare di diventare un bersaglio. Come con molti attacchi informatici, i criminali ottengono l'accesso a una rete a causa di pratiche IT non adeguate. Ad esempio:

• Formazione del personale insufficiente
• Credenziali deboli
• Concessione di troppi accessi ad app di terze parti
• Mancanza di firewall efficaci
• Antivirus non in uso
• Mancato aggiornamento o applicazione di patch al software

Questo è il motivo per cui la sicurezza operativa è vitale. Formazione del personale e credenziali solide vanno di pari passo. Il personale deve essere formato sul modo migliore per accedere alla rete, specialmente quando si lavora in remoto, oltre che su come individuare le email di phishing, segnalare attività sospette e creare password complesse. Tutto questo dovrebbe essere delineato in un piano di continuità aziendale e, per quanto prevenire sia meglio che curare, può essere utile anche mettere in atto piani per il ripristino di emergenza IT e la continuità aziendale. Altre misure fondamentali per prevenire un attacco ransomware includono: