Pagare o non pagare: il parere di DriveSavers dopo essere stata citata dal Financial Times

Il governo britannico sta portando avanti piani per vietare del tutto il pagamento dei riscatti da parte degli enti del settore pubblico e dei gestori di infrastrutture critiche nazionali, tra cui il NHS, le amministrazioni locali e le scuole. Si tratta di una risposta seria a un problema serio. La maggior parte delle vittime di ransomware sono piccole e medie imprese, non operatori di infrastrutture critiche. Un divieto rivolto ai gestori di infrastrutture critiche riguarda quindi solo una piccola parte del totale degli attacchi, per cui da solo potrebbe incidere poco sulla riduzione del volume complessivo della criminalità legata al ransomware.

Esiste già un caso di studio a riguardo. La Carolina del Nord ha vietato i pagamenti da ransomware per gli enti governativi nel 2021, e la Florida ha seguito l'esempio nel 2022. Nessuno dei due divieti sembra aver dissuaso in modo significativo l'attività criminale in entrambi gli stati. Haydn Brooks, CEO di Risk Ledger, ha sollevato un punto correlato nello stesso articolo: se gli enti pubblici non possono pagare, i gruppi criminali potrebbero orientarsi verso obiettivi del settore privato meno regolamentati, e le compagnie assicurative potrebbero rispondere escludendo del tutto i risarcimenti legati al ransomware, facendo così aumentare i premi.

Il quadro giuridico è diverso altrove. Il Regno Unito, l'Australia e altre giurisdizioni in cui opera DriveSavers stanno valutando o già applicando restrizioni proprie, pertanto le organizzazioni al di fuori degli Stati Uniti non dovrebbero dare per scontato che le norme statunitensi si applichino anche a loro.

I casi trattati da DriveSavers presentano una struttura che qualche anno fa non era così ricorrente. Prima di cifrare i sistemi, gli aggressori ora danneggiano o eliminano l'infrastruttura di backup: i repository di backup Veeam, gli host Hyper-V e gli host VMware ESXi ne sono esempi tipici. Circa la metà dei casi di recupero dati da ransomware gestiti da DriveSavers negli ultimi due anni ha coinvolto aggressori che hanno preso di mira specificamente i backup Veeam prima di toccare i server primari. Veeam è la piattaforma di backup dominante per gli ambienti virtualizzati, con circa 550.000 clienti in tutto il mondo, e molti team IT non sanno che i file di backup Veeam eliminati o danneggiati possono spesso essere ancora recuperati grazie agli strumenti e alle tecniche di recupero proprietarie sviluppate da DriveSavers.

Anche i decryptor fornita dagli aggressori sono poco affidabili, in particolare con file di grandi dimensioni e database. Le organizzazioni che pagano il riscatto per ottenere un decryptor hanno spesso ancora bisogno, in seguito, di un recupero dati professionale per ottenere un set completo di file utilizzabili, poiché il processo di decrittazione stesso lascia i dati danneggiati. E i backup immutabili, sebbene rappresentino un investimento davvero valido, non sono infallibili. DriveSavers ha recuperato dati critici in casi in cui un server di backup commercializzato come immutabile era stato completamente eliminato, poiché il software che ne gestiva l'immutabilità era stato a sua volta compromesso.

In un intervento recente, DriveSavers ha aiutato una compagnia assicurativa a evitare una richiesta di riscatto descritta come dell'ordine di milioni di dollari, recuperando tutti i dati operativi necessari da backup eliminati. I servizi di recupero dati richiesti sono costati solo una frazione di quella cifra. Questo fa parte di un cambiamento più ampio: le compagnie assicurative oggi chiedono di routine se il recupero dei dati sia fattibile prima di autorizzare il pagamento di un riscatto, una domanda che qualche anno fa non era ancora prassi standard.

Pagare un riscatto non garantisce che gli aggressori consegnino una chiave di decrittazione funzionante, che i dati tornino intatti, né che i dati rubati non emergano comunque altrove in un secondo momento.

L'affermazione opposta richiede la stessa prudenza, ed è utile distinguere tra due concetti:

Alcune delle altre persone citate insieme a Maus hanno sollevato un punto che merita più attenzione del dibattito sul divieto stesso. Gavin Millard, VP of product presso Tenable, lo ha detto chiaramente: la domanda più utile è come rendere il ransomware meno redditizio fin dall'inizio. La maggior parte degli attacchi sfrutta ancora vulnerabilità conosciute e sistemi esposti, quindi la gestione dell'esposizione produce più benefici a lungo termine di qualsiasi politica sui pagamenti. Spencer Young di Delinea ha sollevato un punto correlato sui controlli degli accessi: limitare i permessi permanenti in modo che una singola credenziale rubata non possa muoversi liberamente all'interno di una rete riduce i danni anche quando un attacco riesce.

Sul fronte della preparazione, le organizzazioni che si riprendono più rapidamente tendono ad aver già documentato dove sono conservati i backup, quali sistemi siano critici e chi contattare, ancora prima che avvenga un attacco. Questo elenco di contatti dovrebbe essere conservato in un luogo separato dai server principali, in modo da non essere cifrato insieme a tutto il resto, e dovrebbe includere un consulente legale, la compagnia assicurativa per il rischio informatico e un servizio di recupero dati.

Risolvere il dilemma se pagare o meno una richiesta di riscatto non è mai semplice. Consideratelo come una decisione basata su più fattori, non come un'unica scelta morale: quanto siano sensibili i dati, se i backup siano sopravvissuti, chi sia esattamente l'aggressore, quale sia l'esposizione legale, e quanto sia realmente realistico un recupero dei dati. Coinvolgete un aiuto esterno tempestivamente, prima che una scadenza per il riscatto vi costringa a decidere, in modo da avere a disposizione più di questi elementi, non meno.

Leggi il rapporto completo del Financial Times: “Surge in ransomware hacks deepens divide over whether to pay” (potrebbe essere richiesto un abbonamento).