Ransomware a doppia estorsione: perché il backup non basta più da solo

"Abbiamo il backup, il ransomware non ci fa paura." È un ragionamento che valeva qualche anno fa, ma che oggi va ripensato: il ransomware moderno non si limita più a bloccare i tuoi file, ruba i tuoi dati prima ancora di criptarli.

Come funzionava il ransomware "classico"

Nel modello tradizionale, un attacco ransomware cripta i file dell'azienda rendendoli inutilizzabili, e chiede un riscatto per la chiave di decrittazione. Con un backup indipendente, aggiornato e conservato al sicuro, un'azienda può ripristinare i propri dati senza pagare, limitando il danno a un fermo operativo temporaneo.

Cosa è cambiato: la doppia estorsione

I gruppi ransomware più organizzati hanno aggiunto una fase preliminare: prima di criptare qualsiasi cosa, esfiltrano — cioè copiano su propri server — una quantità significativa di dati aziendali: contratti, dati di clienti e dipendenti, corrispondenza riservata, documentazione finanziaria. Solo dopo avviano la crittografia. La richiesta di riscatto, a quel punto, copre due minacce distinte:

• Pagare per riavere accesso ai dati criptati (la minaccia "classica")
• Pagare per evitare che i dati rubati vengano pubblicati o venduti online (la minaccia aggiuntiva della "doppia estorsione")

Perché conta anche per le realtà più piccole

È un errore pensare che questo tipo di attacco riguardi solo le grandi aziende. Studi professionali, PMI e enti pubblici gestiscono dati particolarmente sensibili — fiscali, sanitari, contrattuali — che rendono la minaccia di pubblicazione tutt'altro che teorica, e spesso comportano obblighi di notifica specifici in caso di violazione dei dati personali.

Da dove parte quasi sempre l'attacco

Nella grande maggioranza dei casi, l'accesso iniziale che permette a un gruppo ransomware di muoversi nella rete aziendale arriva da un'email: un allegato malevolo aperto senza sospetto, una pagina di phishing che ruba credenziali, un link che scarica un primo malware "silenzioso" usato poi per esplorare la rete con calma, prima di passare all'esfiltrazione e alla crittografia.

Cosa significa, in pratica, proteggersi davvero

• Prevenzione all'origine: impedire che l'email malevola arrivi o venga aperta è il modo più efficace per evitare l'intero scenario, non solo la parte finale della crittografia
• Backup indipendente e isolato: resta indispensabile per garantire la continuità operativa, a condizione che sia protetto e non raggiungibile dagli stessi sistemi compromessi
• Segmentazione e controllo degli accessi: limitare quanto un singolo account compromesso possa vedere o spostare, per contenere l'eventuale esfiltrazione
• Monitoraggio degli allegati sospetti: l'analisi in sandbox di file eseguibili e documenti con macro intercetta il vettore di ingresso più comune, prima che diventi un problema

Come ti protegge MailGestITA

Il gateway Libraesva analizza in sandbox allegati e link sospetti prima della consegna, intercettando il vettore d'ingresso più comune per questo tipo di attacco — un principio già raccontato nel nostro caso di successo su un tentativo di ransomware fermato in tempo. In parallelo, il backup indipendente che offriamo su entrambe le soluzioni, MailGestITA e Microsoft 365 gestito, resta isolato dai sistemi aziendali, garantendo continuità anche nello scenario peggiore.