Nel 2022, gli attacchi ransomware hanno estorto 456,8 milioni di dollari dalle vittime, il 40% in meno rispetto ai 765,6 milioni dell’anno precedente. Tuttavia, prima di brindare alla vittoria, è importante considerare alcuni aspetti significativi. Il recente attacco a Euler Finance, in cui sono stati rubati 135 milioni di dollari in token Ether staked (stETH), ne è un esempio. Le reazioni delle organizzazioni a questi attacchi variano notevolmente e gli esiti influenzeranno sicuramente la regolamentazione in questo settore tormentato.
L’indagine di Naoris Protocol
Un recente sondaggio condotto da Naoris Protocol, una piattaforma di cybersecurity decentralizzata, ha rilevato che le aziende stanno raddoppiando gli sforzi contro gli attacchi ransomware, rifiutandosi di pagare per recuperare i dati rubati o criptati. La maggioranza dei partecipanti, il 70,8%, ha dichiarato di non pagare il riscatto e di denunciare l’attacco alle autorità competenti. Questo dato è sorprendente, poiché non corrisponde ad altre statistiche sulle denunce di attacchi ransomware. Infatti, solo il 42% delle aziende colpite da un attacco di questo tipo lo denuncia effettivamente. David Carvalho, CEO e co-fondatore di Naoris Protocol, afferma: “È molto più facile assumere una posizione morale quando la questione è teorica. Quando ci si confronta con la realtà di un attacco ransomware che potrebbe costare milioni di dollari al giorno alla tua azienda, oltre a potenziali danni al marchio e alla reputazione, le aziende potrebbero essere più restie a prendere una posizione morale“.
Il 16,55% dei partecipanti al sondaggio ha dichiarato di non voler pagare il riscatto né denunciare l’attacco, ma di affidarsi ai backup per ripristinare i dati. Altre ricerche mostrano che il 32% delle vittime di ransomware paga, ma riesce a recuperare solo il 65% dei propri dati, mentre solo il 57% delle aziende riesce a recuperare i dati dai backup. Pertanto, questa strategia non funziona come misura efficace per il recupero dei dati. Per di più, più di un terzo delle aziende che hanno pagato un riscatto per recuperare i propri dati sono state colpite una seconda volta e sono state costrette a pagare ancora di più rispetto al primo attacco, con il 41% che non è riuscito a recuperare tutti i propri dati.
Nuovi metodi di attacco
Sebbene il numero di attacchi ransomware riusciti sia diminuito anno su anno, i metodi di attacco si stanno evolvendo. Tradizionalmente, gli attacchi avvengono criptando i dati delle vittime e chiedendo un pagamento per la chiave di decriptazione. Ora, i criminali ricorrono a tattiche di “doppia estorsione”, minacciando di vendere i dati se il riscatto non viene pagato. Utilizzano anche attacchi di Denial of Service e molestie tramite e-mail o telefono. Sebbene il numero di pagamenti di riscatto sia diminuito, l’importo medio del riscatto sta aumentando. Unit 42, una società di valutazione del rischio informatico, ha riferito che il riscatto medio richiesto nel 2021 era di circa 2,2 milioni di dollari, con un aumento del 144% rispetto alla media di 900.000 dollari registrata nel 2020.
Stimare il numero di attacchi ransomware riusciti (attacchi che hanno portato a perdite di dati o pagamenti di riscatto) è difficile, poiché la segnalazione è opaca e incoerente. Si stima che tra maggio 2021 e giugno 2022 ci siano stati 3.640 attacchi ransomware riusciti a livello globale. Circa il 73% delle organizzazioni ha subito almeno un attacco ransomware negli ultimi 24 mesi e il 60% delle aziende ha ammesso che i criminali informatici hanno lavorato all’interno della loro azienda per un periodo massimo di 6 mesi prima dell’attacco. Altri partecipanti al sondaggio (5,32%) hanno dichiarato che avrebbero pagato il riscatto ma non lo avrebbero denunciato, mentre il 7,32% ha affermato che avrebbe pagato e denunciato l’attacco. Anche in questo caso, le cifre variano notevolmente: secondo un sondaggio su 300 responsabili delle decisioni IT negli Stati Uniti, il 64% è stato vittima di un attacco ransomware nell’ultimo anno e l’83% delle vittime ha pagato il riscatto.
I dati sarebbero comunque esposti
Numerose organizzazioni di alto livello analizzano le minacce informatiche, e i loro rapporti evidenziano la portata e la gravità delle minacce informatiche. Tuttavia, è importante notare che la composizione dei campioni dei sondaggi può variare notevolmente, influenzando potenzialmente i risultati. Ad esempio, intervistare un gruppo di CEO di grandi imprese rispetto a un gruppo di PMI potrebbe presentare differenze sostanziali nel modo in cui affrontano la cybercriminalità. Poi c’è la questione che nessuno vuole affrontare: cosa succede ai dati rubati? I criminali potrebbero ancora avere i file e vendere le informazioni sul dark web con impunità. Alla fine, se l’azienda colpita dall’attacco recupera i propri dati e riesce a evitare danni di immagine non denunciando l’attacco, i suoi clienti e i suoi network pagheranno comunque il prezzo della violazione e, peggio ancora, non sapranno nemmeno che i loro dati sono nelle mani dei criminali.
Sebbene sia eticamente sbagliato, è comprensibile che le aziende non vogliano rivelare di essere state vittime di un attacco. Un rapporto di IBM e Forbes ha scoperto che il 46% delle organizzazioni che hanno subito una violazione della sicurezza informatica ha subito danni significativi alla propria reputazione. Un buon esempio è Travelex, una società di cambio valuta che è fallita sette mesi dopo aver subito un attacco ransomware. L’attacco ha interrotto l’attività dell’azienda per oltre un mese e alla fine hanno pagato ai criminali 2,3 milioni di dollari.
Una continua corsa contro il tempo
È sempre più chiaro che le aziende e le istituzioni non potranno nascondere le violazioni di ransomware in futuro. I regolatori e i governi si stanno preparando per contrastare gli attacchi ransomware, di fronte all’aumento delle minacce. La corsa contro il tempo è particolarmente serrata nei settori delle infrastrutture critiche e del governo. Sebbene non si trattasse di una richiesta di riscatto, il recente attacco alla sede delle Operazioni Speciali della NATO e alla Capacità di Trasporto Aereo Strategico, entrambi impegnati nella consegna di aiuti umanitari alle vittime del recente terremoto turco-siriano, è un esempio emblematico delle abilità dei cybercriminali. In un attacco più recente, il servizio di Marshal degli Stati Uniti (USMS) ha segnalato il furto di informazioni riservate delle forze dell’ordine, dimostrando che nemmeno le forze dell’ordine sono al di fuori della portata degli hacker.
Attualmente è in discussione una legislazione che rende illegale per le aziende pagare riscatti. Una decisione del 2020 dell’Ufficio per il controllo degli attivi stranieri (OFAC) e della Financial Crimes Enforcement Network (FinCEN) degli Stati Uniti afferma che, nella maggior parte dei casi, pagare un riscatto è illegale. Anche l’UE ha adottato una posizione simile: gli Stati membri dell’UE possono imporre multe per il pagamento di riscatti in base alla Direttiva sulla sicurezza delle reti e dei sistemi informativi (Direttiva NIS). Proposte governative da parte dei leader australiani e appelli da parte di Europol sono anch’essi in discussione.
La nuova strategia USA
Il presidente degli Stati Uniti, Joe Biden, ha recentemente presentato una nuova strategia di sicurezza informatica, esortando tutti i settori a prendere più sul serio le proprie responsabilità in materia di cyber sicurezza. Fino ad ora, la segnalazione è stata volontaria, con il governo che incoraggia le aziende a segnalare le intrusioni nei sistemi e a “pattugliare” regolarmente i propri programmi per chiudere le vulnerabilità appena scoperte. L’approccio volontario non ha prodotto i risultati desiderati, quindi la strategia di Biden raccomanda mandati molto più ampi per il settore privato, poiché la stragrande maggioranza delle infrastrutture digitali degli Stati Uniti è controllata da questo gruppo. Il governo degli Stati Uniti è particolarmente preoccupato per gli attacchi provenienti dall’estero e per la tecnologia sempre più sofisticata utilizzata per attuare gli attacchi.
David Carvalho, CEO e co-fondatore di Naoris Protocol, afferma: “In definitiva, la migliore cura è la prevenzione, e ciò inizia con l’educazione dei dipendenti e dei singoli individui sul ruolo che possono svolgere nel contrastare gli attacchi dei cybercriminali. La tecnologia emergente svolgerà anche un ruolo fondamentale nel mitigare gli attacchi. In un mondo sempre più interconnesso e decentralizzato, ogni dispositivo con una connessione a Internet è un potenziale punto di vulnerabilità o di ingresso per un attacco informatico. La sicurezza informatica tradizionale si basa sull’ipotesi che i punti di accesso siano protetti all’interno della propria rete chiusa. Tuttavia, in un ambiente aziendale sempre più decentralizzato e interconnesso, la distribuzione di dispositivi e server cloud rappresenta un rischio, poiché diventano singoli punti di vulnerabilità indipendentemente dai controlli di sicurezza informatica attuali, come telefoni cellulari dei dipendenti, laptop, server, ecc. Le architetture IT sono centralizzate, il che significa che esiste un punto centrale di controllo o autorità. Questo facilita il compito degli aggressori nel prendere di mira e compromettere l’intero sistema o assumere il controllo dei processi. Ciò ha un impatto notevole sulla resilienza alle minacce e sulla continuità operativa: anche se le minacce vengono rilevate e i rischi identificati e conosciuti, di solito è troppo tardi per fermare una violazione importante“.
La Cybersecurity Mesh Decentralizzata è efficace?
La Cybersecurity Mesh decentralizzata sta guadagnando riconoscimenti come strumento efficace contro le minacce informatiche. In un ambiente di sicurezza informatica decentralizzato, quando un hacker interferisce con il codice di un sistema o di una rete attraverso un dispositivo, verrebbe generato un allarme immediato e il dispositivo potrebbe essere potenzialmente bloccato dalla rete, impedendo il compromesso dell’intera infrastruttura di rete – portando fiducia e sicurezza decentralizzate negli spazi centralizzati. La sicurezza informatica del Web 2.0 non è efficace nel contrastare le minacce del Web 3.0; finché il divario tecnologico non viene colmato, le aziende continueranno ad affrontare venti contrari nel campo della sicurezza informatica. Nel frattempo, dal momento che il 95% di tutti gli hacker viene fatto entrare dalla porta principale dagli individui che fanno clic su collegamenti di phishing e simili, investire nell’educazione risulterebbe un’ottima soluzione.
Aiutaci a crescere: lasciaci un like :)