België (Nederlands)
Belgique (français)
Česká republika
Danmark
Deutschland
España
France
Italia
Magyarország
Nederland
Norge
Polska
Portugal
România
Schweiz (Deutsch)
Slovensko (česky)
South Africa
Suisse (français)
Suomi
Sverige
Türkiye
United Arab Emirates
Il termine "ransomware" indica un tipo di malware la cui crescente diffusione rappresenta un problema per le aziende. In genere agisce eseguendo il criptaggio di file, sistemi e dispositivi o bloccando schermate, per rendere inaccessibili cartelle, file o anche interi sistemi. Gli utenti vengono quindi informati che il sistema è stato compromesso e resterà inaccessibile fino al pagamento di un riscatto in denaro.
Il ransomware può riuscire a infettare una rete in molti modi. Ad esempio, può approfittare della disattenzione di qualche utente che visita un sito Web compromesso, scarica un file infetto o apre un'email di spam oppure può sfruttare le numerose vulnerabilità presenti in tutta la rete a causa di qualche software privo di patch. A dimostrazione di quanto sia difficile da rilevare e sradicare, il ransomware può anche rimanere a lungo dormiente in una rete o in un dispositivo.
Questo tipo di malware viene spesso utilizzato dai criminali informatici per colpire organizzazioni dei settori sanitario, finanziario e della pubblica amministrazione, che accumulano enormi quantità di dati riservati o sensibili per fornire servizi essenziali.
In questa guida parleremo dei diversi tipi di ransomware, dell'impatto che può avere sulle attività aziendali e di come le imprese possono prevenire questa minaccia.
Malware è un termine generico usato per indicare molti tipi di software dannoso. I diversi tipi vengono in genere definiti in base al sistema di distribuzione che utilizzano o al comportamento che assumono una volta ottenuto l'accesso a una rete. Ad esempio, a volte ci si riferisce al ransomware come a un virus e in alcuni casi è così. I virus, tuttavia, sono solo un tipo di software dannoso caratterizzato dalla capacità di replicare il proprio codice.
Accanto alle forme di ransomware meno recenti, come Phobos, assistiamo continuamente alla comparsa di nuovi ransomware. Di fatto, il numero di attacchi è quasi raddoppiato nei primi sei mesi del 2021. Secondo Cognyte, durante la prima metà del 2021 le organizzazioni colpite da attacchi ransomware sono state 1.097, contro le 1.112 registrate nel corso dell'intero 2020. Il paese maggiormente preso di mira sono gli Stati Uniti, che rappresentano il 54,9% delle vittime totali.
Alcuni fattori possono determinare un aumento del rischio per le aziende, ad esempio:
Impedire al ransomware di accedere ai sistemi aziendali e difendere l'attività nelle fasi iniziali di un attacco può far risparmiare alle imprese migliaia, se non milioni in termini di costi per il ripristino post-attacco. Un esempio lampante è l'attacco del ransomware CryptoLocker, la cui risoluzione ha richiesto più di sei mesi.
Da settembre 2013 a maggio 2014, i criminali informatici hanno sviluppato una nuova botnet, denominata Gameover ZeuS, che ha formato una rete di obiettivi infettati dal malware. Le vittime hanno ricevuto un allegato email contenente uno script che una volta aperto ha attivato il malware. Il ransomware è stato inoltre in grado di identificare altri dispositivi connessi alla rete della vittima, criptando completamente tutti i dati o bloccando i sistemi operativi e interrompendo le operazioni aziendali.
Il malware ha criptato con successo i file e informato le aziende colpite che le loro operazioni sarebbero state tenute in ostaggio fino al pagamento di un riscatto. Con le loro attività, gli aggressori sono così riusciti a estorcere alle vittime milioni di dollari.
Nell'attacco CryptoLocker è stata utilizzata anche una tattica basata sul criptaggio asimmetrico, che consentiva ai criminali di criptare un file impiegando una chiave pubblica, mentre per decriptare il sistema le vittime potevano utilizzare solo una chiave privata. In sostanza, senza una chiave privata, recuperare i file criptati era praticamente impossibile.
In base a uno studio condotto da Verizon, non tutte le vittime del ransomware pagano il riscatto o devono sostenere dei costi. D'altra parte, nel 95% dei casi in cui il ransomware comporta delle spese, la perdita mediana è pari a 11.150 dollari, con perdite effettive comprese in un range da 70 dollari a 1,2 milioni di dollari. Comprendendo come prevenire il ransomware, le aziende possono ridurre in modo significativo la loro vulnerabilità online.
Di seguito descriviamo i passaggi chiave per difendere le operazioni aziendali prevenendo e neutralizzando i potenziali attacchi ransomware.
I dipendenti sono la prima linea di difesa per far fronte alle diverse minacce per le operazioni aziendali. Dovrebbero pertanto avere almeno una conoscenza di base dei rischi per la sicurezza informatica, come i tentativi di spam e phishing, oltre ad altre tattiche comuni che includono:
Per aumentare la consapevolezza del personale sulle potenziali minacce, può inoltre essere utile definire un criterio relativo ai messaggi email sospetti che assicuri che in azienda tutti seguano le medesime procedure per ridurre i livelli di rischio. È importante assicurarsi di testare in anticipo tutti i criteri relativi alla pianificazione di emergenza, in modo da identificare eventuali lacune o problemi e assicurarsi che tutti siano preparati.
L'autore di un qualsiasi potenziale attacco ransomware dovrà necessariamente condurre alcune ricerche essenziali sull'attività dell'organizzazione che intende colpire. E per ottenere queste informazioni non esiste fonte migliore del team di gestione e di altri membri del personale. Per proteggere i dati aziendali, è pertanto importante non fornire mai informazioni sensibili a fonti la cui attendibilità non è stata verificata.
Indipendentemente dal mittente, tutti i membri dell'azienda devono maneggiare con estrema cautela i file, gli allegati e i collegamenti che ricevono, poiché possono contenere ransomware, virus o software dannoso. Il criptaggio può fornire un algoritmo per proteggere i dati riservati, che devono essere decriptati dal destinatario usando una chiave di decriptaggio. Per chi non dispone della chiave, i dati sono illeggibili. Le chiavi di criptaggio vengono utilizzate per tradurre il testo cifrato in testo in chiaro leggibile. Senza questa chiave, le informazioni sono pertanto inutilizzabili e si annulla il rischio che i dati finiscano nelle mani sbagliate.
Per proteggere il computer dal ransomware, è fondamentale non fare clic su collegamenti, allegati, applicazioni o popup non verificati. Se si utilizza un computer desktop, durante la navigazione è possibile posizionare il cursore del mouse sopra un collegamento per controllarlo prima di fare clic: l'indirizzo URL di destinazione verrà visualizzato nella parte inferiore del browser. I siti protetti iniziano con "https" anziché "http" e nella barra degli indirizzi presentano il simbolo di uno scudo o di un lucchetto. Se l'URL di destinazione non è sicuro o sembra sospetto, ad esempio non corrisponde al contesto del collegamento, è consigliabile non fare clic.
Anche il download di app dannose nei dispositivi mobile, sia iOS che e Android, può favorire la diffusione del malware. Per mitigare la minaccia del ransomware, è preferibile visitare solo siti verificati e attendibili, come Google Play Store per gli utenti Android e l'App Store di Apple per gli utenti iPhone. Sebbene non sia un sistema infallibile al 100%, per contrastare la minaccia di attacchi ransomware è utile controllare le recensioni degli utenti e il numero di download prima di installare nuove app, eseguire di frequente la pulizia delle app inutilizzate e installare un'efficace soluzione di sicurezza nei dispositivi mobile.
I criminali sono inoltre in grado di sfruttare le vulnerabilità dei sistemi di sicurezza attraverso le reti Wi-Fi, i collegamenti dannosi inviati tramite SMS o email e i siti Web contraffatti. Il consiglio migliore resta sempre lo stesso: massima cautela e niente rischi.
Installando nei server di posta un software per la scansione e il filtro dei contenuti è possibile bloccare, rilevare e prevenire il rischio di un attacco ransomware. Questi livelli di protezione aggiuntivi includono:
La limitazione delle capacità degli utenti e la rimozione di determinati privilegi di accesso, download, installazione ed esecuzione di applicazioni software, nota come PoLP (Principle of Least Privilege), è universalmente considerata una best practice per contrastare in modo significativo il rischio che il malware penetri nella rete.
Sebbene questa soluzione non sia in genere apprezzata dal personale, limitare i privilegi degli utenti è un modo efficace per consentire alle aziende di proteggere dati sensibili e riservati, account, programmi e dispositivi connessi alla rete, pur continuando a garantire la protezione delle informazioni associate. Anche il controllo degli accessi in base al ruolo (RBAC, Role-Based Access Control) può essere un modo efficace per limitare l'accesso al sistema variando i livelli di autorizzazione per gli utenti che ricoprono determinati ruoli e appartengono a determinati gruppi all'interno dell'azienda.
I dispositivi esterni, come le unità USB, possono essere fonte di problemi per le aziende. Le reti possono proteggersi dalle minacce interne. Ma un dispositivo esterno potrebbe essere stato infettato dal malware senza che l'utente ne sia a conoscenza. Una volta connesso il dispositivo personale di un dipendente, l'eventuale malware memorizzato al suo interno potrebbe facilmente diffondersi in tutta la rete aziendale. Per prevenire il rischio di ransomware, la migliore difesa sarà quella di abolire l'utilizzo dei dispositivi esterni sul luogo di lavoro.
Per assicurare all'azienda un ulteriore livello di protezione da ransomware e altri attacchi informatici, è necessario mantenere regolarmente aggiornati tutti i software e le applicazioni, incluse le patch fornite dalle società di sicurezza IT per correggere eventuali vulnerabilità note presenti nella rete.
In un solo giorno, l'attacco WannaCry del 2017 si è diffuso in più di 230.000 PC Windows in 150 paesi, colpendo uffici della pubblica amministrazione, strutture mediche e ospedali. Tra gli attacchi andati a segno, quello al sistema sanitario nazionale del Regno Unito (NHS, National Health Service) ha comportato una prolungata interruzione del servizio principalmente causata dalla presenza di un software non aggiornato e privo di patch che i criminali hanno saputo sfruttare abilmente. A oggi, WannaCry rimane uno dei più famigerati attacchi informatici. Dal 2017 Avast ha bloccato oltre 170 milioni di attacchi di questo ransomware.
Le soluzioni antivirus possono automatizzare l'applicazione di patch e aggiornamenti per garantire che i sistemi siano sempre protetti anche dalle più recenti minacce informatiche.
Nell'eventualità che si verifichi un attacco ransomware, l'utilizzo di un sistema di backup può assicurare una significativa riduzione dei tempi di inattività necessari per ripristinare le operazioni. Tra i sistemi di backup disponibili sono incluse le seguenti soluzioni:
.svg)
Le organizzazioni che desiderano non farsi cogliere impreparate dalle future minacce di attacco ransomware dovrebbero implementare un piano di ripristino di emergenza e un piano di continuità aziendale, per definire i processi e i protocolli da seguire nell'eventualità di un attacco. Dovranno inoltre essere verificati i ruoli per ogni membro dell'organizzazione e i contatti per la notifica delle attività di supporto sia per la prevenzione che per il ripristino.
Non va assolutamente sottovalutata l'importanza dell'adozione di un potente software di protezione e dell'applicazione di tutti gli aggiornamenti di sicurezza per il sistema. Seguendo un approccio multilivello, che utilizza più strumenti e processi di sicurezza diversi, le aziende possono massimizzare la protezione dal ransomware.
Di seguito sono disponibili alcune indicazioni che possono aiutare le aziende a rafforzare notevolmente la propria strategia di sicurezza:
La popolarità e l'importanza dei sistemi per l'autenticazione a più fattori, detta anche autenticazione a due fattori, di recente sono cresciute notevolmente. Per assicurare un ulteriore livello di protezione, oltre a una password complessa, questi sistemi richiedono agli utenti di fornire una seconda informazione o di completare un'apposita procedura prima di poter accedere al proprio account.
Tra i diversi sistemi MFA disponibili sono incluse le seguenti soluzioni:
L'installazione di una rete privata virtuale consente di criptare la connessione e mantenere i dati aziendali sicuri e protetti anche sulle reti pubbliche grazie alla creazione di una connessione sicura tra il dispositivo e Internet, che permette di accedere ai dati in modo privato e senza rischi. Scopri di più sul funzionamento delle reti VPN e sui diversi tipi disponibili.
Le soluzioni per la sicurezza degli endpoint (termine che indica qualsiasi dispositivo connesso alla rete) garantiscono la protezione dei dispositivi aziendali dal malware e dagli attacchi zero-day, che sfruttano le vulnerabilità causate dalla mancata applicazione delle patch. Nel caso degli attacchi zero-day la vulnerabilità dei sistemi aziendali è maggiore, poiché il tempo a disposizione per correggere eventuali punti deboli prima di un attacco è inferiore a un giorno.
La protezione di tutti gli endpoint, sia fisica che virtuale o basata sul cloud, viene fornita tramite una console di gestione centralizzata, dove gli amministratori possono monitorare e proteggere regolarmente i sistemi in tempo reale.
I sistemi di rilevamento delle intrusioni monitorano regolarmente la rete per rilevare in tempo reale qualsiasi attività insolita o dannosa, ransomware incluso, e consentire all'azienda di rispondere rapidamente agli incidenti minimizzando i tempi di inattività operativa.
Molte varianti di ransomware sono in grado di sfruttare una vulnerabilità del protocollo RDP (Remote Desktop Protocol). Impiegato in genere dagli utenti per connettersi in remoto a un dispositivo, questo protocollo costituisce un punto di ingresso molto utilizzato per gli attacchi ransomware, in particolare la porta RDP 3389 aperta per impostazione predefinita.
Ulteriori porte SMB (Server Message Block), come la porta 445, consentono inoltre ai server e alle applicazioni presenti nella rete aziendale di comunicare tra loro e con altri sistemi, per permettere agli utenti di condividere file, eseguire operazioni come la stampa di documenti e completare correttamente altre attività su Internet.
I software antivirus proteggono la rete aziendale e i dispositivi connessi dalle minacce interne ed esterne, offrendo i seguenti vantaggi:
Difendi la tua organizzazione dal ransomware e dagli attacchi informatici avanzati, con le soluzioni complete per la sicurezza informatica Avast Small Business che garantiscono alle piccole imprese una protezione online semplice ma potente a un prezzo conveniente.
