Doppia estorsione: come il ransomware è diventato un'industria, e perché il backup da solo non ti salva più

Per anni il ransomware ha funzionato in modo semplice: cifro i tuoi file, paghi, te li sblocco. La contromossa delle aziende era altrettanto semplice: un buon backup, e al criminale fai ciao ciao — ripristini tutto e non paghi. È stato questo a spingere i criminali a cambiare modello.

Nasce così la doppia estorsione. Prima di cifrare, gli attaccanti copiano via i dati. Ora hanno due leve: «paga per riavere i file» e — quella che conta davvero — «paga, altrimenti pubblichiamo tutto quello che ti abbiamo rubato». Contro questa seconda minaccia il backup non può nulla: i file li hai, ma i tuoi segreti sono già nelle loro mani.

Un'industria con i suoi ruoli

Dietro un attacco moderno non c'è un hacker solitario, ma una vera filiera, che gli addetti chiamano RaaS (Ransomware-as-a-Service, cioè «ransomware come servizio»). C'è chi sviluppa il malware e gestisce il sito dove si pubblicano i dati rubati. Ci sono gli affiliati, che affittano il malware e lanciano gli attacchi. E ci sono gli intermediari d'accesso (in inglese Initial Access Broker), che si limitano a bucare le aziende e poi vendono l'accesso a chi farà il resto.

Il backup ti ridà i file. Non ti ridà la riservatezza dei dati che sono già usciti dalla porta.

C'è anche una leva in più, legale e reputazionale: pubblicare dati personali espone l'azienda vittima a sanzioni per la privacy (il GDPR in Europa) e a un grave danno d'immagine. Questo aumenta la pressione a pagare, anche quando i file sarebbero recuperabili.

La difesa è a strati

Poiché il furto dei dati viene prima della cifratura, difendersi significa fermare l'intrusione molto prima dell'atto finale. Non esiste una singola misura magica: serve lavorare su più strati.

# Le priorità difensive, in ordine
- Identità: secondo fattore (MFA) ovunque; niente account onnipotenti
- Segmentazione: dividere la rete, così chi entra in un pezzo non arriva ovunque
- Backup non modificabili, tenuti offline, e provati davvero
- Sorvegliare l\u2019uscita di grandi quantità di dati (segno di furto in corso)

Perché conta. Capire che si tratta di un'industria, e non di un gesto isolato, cambia la difesa: non basta poter ripristinare, bisogna impedire che l'attacco arrivi fino in fondo. La partita si gioca all'ingresso e nel movimento interno, non sull'ultimo clic.