Ransomware ed estorsione
Modulo 1: Perché Lei è un bersaglio · Tempo di lettura: 10 minuti
Obiettivo formativo: dopo questa lezione sarà in grado di spiegare come entra il ransomware, cos'è la doppia estorsione e quali misure limitano i danni.
Concetti chiave: ransomware, cifratura, doppia estorsione, accesso iniziale, movimento laterale, riscatto, decryptor (No More Ransom)
Cos'è il ransomware
Il ransomware è un software dannoso che rende inutilizzabili i Suoi file o sistemi e poi chiede un riscatto. La parola deriva dall'inglese ransom: riscatto. Di solito avviene tramite cifratura: il software trasforma i Suoi file in dati illeggibili, con una chiave in possesso solo dell'aggressore. I file restano visibili, spesso con un'estensione strana, ma non è più possibile aprirli. Sullo schermo o in ogni cartella compare un messaggio: paghi entro pochi giorni, altrimenti tutto andrà perso.
La cifratura in sé non ha nulla di dannoso. È la stessa tecnica che protegge il Suo laptop in caso di furto (lezione 5.2) e che protegge la connessione a un sito web. La differenza sta in chi possiede la chiave. Una buona cifratura non è violabile. Per questo "basta decifrarlo" quasi mai è un'opzione percorribile, a meno che chi ha creato il ransomware non abbia commesso un errore.
Secondo l'ACN, il ransomware non colpisce solo i file, ma anche i sistemi e i backup. Quest'ultimo punto è l'aspetto più importante di questa lezione.
Come entra
Un attacco ransomware non è un singolo momento, ma una serie di fasi. Inizia con l'accesso iniziale: il primo piede dentro la porta. Le vie più comuni:
| Via di accesso | Come avviene | Cosa lo blocca |
|---|---|---|
| Phishing con allegato o link | Un dipendente apre una "fattura" o un "documento di trasporto" che avvia un software dannoso | Sensibilizzazione (lezione 9.2), aggiornamenti, permessi limitati |
| Credenziali rubate | Una password trapelata funziona sulla webmail, sulla VPN o sulla gestione da remoto | Password uniche, autenticazione a due fattori (2FA) (modulo 2) |
| Una vulnerabilità nota in un sistema connesso a internet | Un server VPN, un firewall, un NAS o un sito web obsoleto con una vulnerabilità pubblicamente nota | Aggiornare rapidamente (lezione 5.1), non lasciare porte aperte inutilmente |
| Gestione da remoto accessibile dall'esterno | Un programma per lavorare da remoto su un PC, raggiungibile da tutta internet | Solo tramite connessione protetta, con 2FA |
| Un fornitore | L'azienda IT o il software di un fornitore viene utilizzato in modo improprio | Accordi e permessi minimi (modulo 7) |
Dopo il primo accesso, un aggressore spesso aspetta. Osserva l'ambiente, cerca account amministrativi e si sposta da un computer all'altro. Questo si chiama movimento laterale. Cerca soprattutto due cose: dove si trovano i dati importanti e dove si trovano i backup. Solo dopo aver individuato entrambi colpisce, spesso di notte o nel weekend, quando nessuno se ne accorge.
Perché un backup collegato non aiuta
Molte piccole imprese hanno un backup: un disco esterno sempre collegato al PC, oppure un disco di rete (NAS) su cui ogni notte viene fatta una copia. È meglio di niente in caso di disco rigido guasto. Contro il ransomware spesso non serve.
Il motivo è semplice. Il ransomware cifra tutto ciò a cui può accedere il computer infetto o l'account compromesso. Se il disco di backup è collegato al PC, il ransomware può raggiungerlo. Se il backup si trova su un disco di rete a cui si accede con lo stesso account, il ransomware può raggiungerlo. Un aggressore che ha osservato con calma l'ambiente a volte cancella deliberatamente i backup prima di avviare la cifratura.
Lo stesso vale per la sincronizzazione. Una cartella sincronizzata automaticamente con il cloud sincronizza anche la versione cifrata. A volte è ancora possibile tornare a una versione precedente di un file, ma dipende dal servizio e da quanto a lungo conserva le versioni.
Un backup che sopravvive al ransomware ha almeno una copia che l'aggressore non può raggiungere o modificare: un disco tenuto staccato in un cassetto, oppure un backup presso un fornitore separato con un proprio accesso che non utilizza sul Suo computer di lavoro, oppure uno spazio di archiviazione che rende tecnicamente impossibile modificare o cancellare i dati per un certo periodo. Nel modulo 6 lo organizzerà passo per passo. Un backup realizzato dal Suo fornitore di hosting su server separati, al di fuori del Suo pacchetto, costituisce già una copia esterna per il Suo sito web e la Sua posta. Verifichi comunque per quanto tempo viene conservato e chi può cancellarlo.
Doppia estorsione
In passato, un buon backup era la risposta completa al ransomware: ripristinare e tutto risolto. Gli aggressori si sono adattati. Con la doppia estorsione, prima rubano una copia dei Suoi dati e solo dopo procedono alla cifratura. A quel punto ci sono due minacce:
- Paghi, altrimenti non riavrà i Suoi file.
- Paghi, altrimenti pubblichiamo i Suoi dati: archivi clienti, preventivi, dati retributivi, caselle di posta.
Un backup aiuta contro la prima minaccia, non contro la seconda. Anche l'ACN avverte che gli aggressori a volte minacciano di pubblicare i dati rubati. Inoltre, il furto di dati personali costituisce di per sé una violazione di dati personali, con un obbligo di notifica al Garante per la protezione dei dati personali (lezione 8.2), indipendentemente dal fatto che si paghi o meno.
A volte un aggressore si spinge oltre e contatta direttamente i Suoi clienti o partner commerciali, comunicando che i loro dati sono stati sottratti presso di Lei. La pressione non ricade quindi solo su di Lei, ma anche sulla Sua reputazione.
Pagare o no?
Il consiglio delle autorità pubbliche e delle forze dell'ordine è univoco: meglio non pagare. No More Ransom, l'iniziativa promossa tra gli altri da Europol e dalla polizia olandese, lo dice chiaramente: pagare il riscatto non offre alcuna garanzia. Ci sono buone ragioni:
- Non ha alcuna garanzia di ricevere una chiave funzionante, né che la decifratura riesca.
- Non ha alcuna garanzia che i dati rubati vengano poi effettivamente eliminati.
- Conferma che la Sua azienda paga, e questo La rende un bersaglio interessante per un attacco successivo.
- Finanzia i prossimi attacchi contro altri.
- La via di accesso non è ancora chiusa. Senza un'indagine, può succedere di nuovo.
L'ACN indica il ripristino da backup come la soluzione più affidabile. Se non funziona, verifichi se esiste un decryptor: un programma gratuito in grado di decifrare i file di una determinata famiglia di ransomware, perché i ricercatori hanno trovato un errore in quella famiglia o ne hanno sequestrato le chiavi. No More Ransom (https://www.nomoreransom.org) raccoglie questi decryptor e La aiuta a identificare quale ransomware ha colpito il Suo sistema. Non per tutte le famiglie esiste una soluzione, ma verificare non costa nulla.
In ogni caso, sporga denuncia alla Polizia Postale, e verifichi se ha un obbligo di notifica: al Garante se sono stati coinvolti dati personali, all'ACN se rientra nell'ambito del decreto NIS (lezione 9.1), e talvolta a un committente secondo quanto previsto dal contratto.
Cosa limita i danni
Può ridurre la probabilità di un attacco e limitare i danni qualora si verifichi comunque. Un riepilogo, con la lezione in cui lo approfondisce:
- Aggiornare, soprattutto tutto ciò che è connesso a internet: VPN, router, NAS, sito web (lezione 5.1).
- Autenticazione a due fattori (2FA) su posta, gestione da remoto e tutti gli account amministrativi (lezione 2.3 e 2.4).
- Permessi minimi: non lavorare quotidianamente con un account amministrativo, e non dare accesso a tutto a tutti (lezione 7.1).
- Un backup fuori portata dai Suoi account abituali, testando regolarmente che il ripristino funzioni (modulo 6).
- Una scheda di gestione degli incidenti affinché tutti sappiano cosa fare: scollegare la rete, non spegnere a caso, chiamare (lezione 8.1 e 8.3).
- Sensibilizzazione: un collega che segnala immediatamente di aver aperto un allegato strano Le offre ore di vantaggio (lezione 9.2).
Nella pratica: ecco come si presenta
Un esempio, costruito a partire da situazioni che si verificano spesso. Un'azienda di installazioni con dodici dipendenti aveva un server VPN per accedere ai file da casa. Il firmware non veniva aggiornato da un anno e mezzo. Attraverso una vulnerabilità nota, un aggressore è entrato, ha osservato l'ambiente per una settimana e ha trovato l'account amministrativo del disco di rete. In una notte di sabato sono stati cifrati i PC, il disco di rete e il disco USB di backup ad esso collegato. Ciò che è rimasto: la posta e il sito web, ospitati presso un fornitore di hosting con un proprio backup, e una vecchia copia della contabilità su un disco che il commercialista teneva a casa. Con questo, l'azienda ha potuto riprendere a fatturare dopo pochi giorni. I preventivi e i disegni degli ultimi mesi erano andati persi.
Un aggiornamento e un disco separato in un cassetto avrebbero fatto la differenza tra pochi giorni e alcuni mesi.
Riepilogo
- Il ransomware cifra file, sistemi e backup e chiede un riscatto; una buona cifratura non è violabile.
- Il ransomware entra tramite phishing, password rubate, sistemi non aggiornati connessi a internet, gestione da remoto o un fornitore; dopo di che l'aggressore spesso osserva prima l'ambiente.
- Un backup collegato al computer o raggiungibile con lo stesso account viene spesso cifrato insieme al resto.
- Con la doppia estorsione, i dati vengono prima rubati; un backup non aiuta contro la minaccia di pubblicazione, e si tratta di una violazione di dati personali.
- Meglio non pagare; ripristini da backup, verifichi su No More Ransom se esiste un decryptor e sporga denuncia.
Quiz
Esercizio
Esercizio D1.3: E se succedesse stanotte? Verifichi per la Sua azienda cosa potrebbe cifrare il ransomware stanotte. Annoti dove si trovano i Suoi backup, se sono raggiungibili da un normale computer di lavoro o con un account ordinario, e quali sistemi sono connessi a internet. Risponda poi alle domande di riflessione.
Esercizio D1.3: E se succedesse stanotte?
Come procedere: (1) Faccia un elenco di tutti i luoghi dove si trovano i file importanti: PC, laptop, disco di rete, spazio cloud, e-mail, contabilità, sito web. (2) Scriva per ogni luogo dove si trova il backup, e se quel backup è raggiungibile da un normale computer di lavoro o con un account usato quotidianamente. (3) Verifichi quali sistemi sono collegati a internet e raggiungibili dall'esterno (VPN, gestione remota, NAS, router, sito web), e quando sono stati aggiornati l'ultima volta. (4) Verifichi se esiste almeno una copia che un ransomware non può raggiungere (scollegata, in un cassetto, oppure presso una terza parte separata con un proprio accesso). (5) Consulti una volta sola https://www.nomoreransom.org per capire come funziona il sito, così lo sa già se dovesse servirLe.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il procedimento è simile.