Ransomware: cos'è e come funziona
Il ransomware è un tipo di malware che rende inutilizzabili dati e sistemi, di solito cifrandoli, e chiede un riscatto per restituirne l'accesso. Oggi quasi sempre l'attacco comprende anche il furto dei dati, con la minaccia di pubblicarli.
In breve
Il ransomware è diventato un'industria. Molti gruppi lavorano con un modello "ransomware as a service": chi sviluppa il malware lo affitta ad affiliati che conducono gli attacchi e si dividono i guadagni. Nella doppia estorsione i criminali prima copiano i dati, poi cifrano i sistemi, e infine pubblicano il nome della vittima sui propri siti di rivendicazione nel dark web, minacciando di diffondere i file se non paga.
Come si svolge un attacco
- Accesso iniziale: una email di phishing, credenziali rubate di una VPN o di un desktop remoto esposto, una vulnerabilità non corretta su un apparato perimetrale.
- Esplorazione e movimento laterale: l'attaccante cerca account amministrativi, server e condivisioni di rete, spesso per giorni o settimane.
- Sottrazione dei dati verso server esterni.
- Attacco ai backup: cancellazione delle copie raggiungibili dalla rete e delle copie di ripristino di Windows.
- Cifratura, spesso di notte o nel fine settimana, e richiesta di riscatto.
Perché è importante
Un ransomware ferma l'azienda: produzione, fatturazione, posta. Pagare non dà garanzie: i dati possono non tornare tutti, e quelli rubati restano nelle mani dei criminali. Spesso l'evento è anche un data breach da valutare e notificare secondo il GDPR, e un incidente da notificare per chi rientra nella NIS2.
Le difese che contano di più: backup con almeno una copia isolata dalla rete e ripristini provati davvero, autenticazione a più fattori sugli accessi remoti e sulla posta, aggiornamenti tempestivi dei sistemi esposti, condivisioni di rete con permessi ridotti al necessario, monitoraggio degli endpoint e un piano di business continuity che dica cosa fare nelle prime ore.
Esempio
Uno studio professionale espone il desktop remoto del server per consentire il lavoro da casa. La password dell'amministratore, riutilizzata su un altro servizio, finisce in una raccolta di credenziali rubate. Un affiliato entra di domenica, copia gli archivi dei clienti, cancella i backup collegati in rete e cifra il server. Il lunedì lo studio è fermo. Il recupero è possibile solo perché una copia settimanale era su un disco scollegato: si perdono quattro giorni di lavoro e resta da gestire la notifica della violazione dei dati.
Termini collegati
Dove lo trovi in Dottor Box
Il Dark Web Monitoring controlla ogni giorno i siti di leak e ransomware sulle parole chiave della tua azienda. Condivisioni Aperte trova le cartelle di rete accessibili a chi non dovrebbe, e la Continuità operativa guida la verifica di backup e ripristino.
Dark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più VedereCondivisioni aperte
Le cartelle di rete leggibili o scrivibili da chi non dovrebbe: la strada preferita del ransomware.
Scopri di più GovernareContinuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di più