Ransomware e Pubblica Amministrazione (PA): a che punto siamo? Un inquadramento più dettagilato della situazione arriva dal nuovo report “The State of Ransomware in State and Local Government 2022”, pubblicato da Sophos col fine di indagare come il ransomware è penetrato nella infrastruttura degli Enti Pubblici (DISPONIBILE QUI).
Un dato su tutti: quasi il 75% degli enti pubblici locali e statali che è stato colpito da attacchi ransomware ha subito la cifratura dei propri dati – un dato superiore del 7% rispetto alla media generale di tutti i vari vertical analizzati, confermando che la PA è nel mirino del cybercrime ora più che mai.
Solo il 20% degli enti colpiti è riuscito a bloccare gli attacchi ransomware prima che potessero cifrare i dati, una proporzione notevolmente inferiore rispetto alla media generale del 31% (l’8% ha riportato attacchi ai propri dati a scopo di riscatto senza tuttavia che questi venissero cifrati). Allo stesso tempo, il settore pubblico ha registrato una delle più basse percentuali di attacco: solo il 58% degli enti è stato colpito da ransomware nel 2021.
“In genere, le pubbliche amministrazioni non sono mai state un obiettivo principale degli attacchi ransomware dal momento che non dispongono di elevati flussi finanziari quanto avviene invece con le aziende private e inoltre attaccarle non è il modo migliore per evitare di attirare l’attenzione delle forze dell’ordine. Tuttavia, quando gli enti pubblici vengono colpiti, la loro protezione si rivela in molti casi insufficiente a causa di budget limitati che non consentono attività di cybersicurezza approfondite come quelle offerte dai team di threat hunting o dai SOC (Security Operations Center). Questo per due ragioni: la prima è che, pur raccogliendo una grande quantità di informazioni sensibili, le pubbliche amministrazioni devono mantenerle facilmente accessibili. In secondo luogo, la maggior parte del budget deve essere speso sul campo: i contribuenti notano se le strade sono pulite o se le scuole funzionano bene; viceversa non possono “vedere” un cyberattacco né capire perché un provider di servizi MDR (Managed Detection and Response) possa essere necessario per neutralizzare il ransomware”, ha dichiarato Chester Wisniewski, Principal Research Scientist di Sophos.
Oltre all’elevata percentuale di casi di avvenuta cifratura delle informazioni, il settore pubblico ha sperimentato anche un calo significativo nella quantità di dati recuperati successivamente al pagamento dei riscatti scendendo dal 70% del 2020 al 58% del 2021: un valore inferiore anche rispetto alla media generale del 61%.
Ecco ulteriori elementi emersi dalla ricerca:
- Nel 2021 è stato registrato un aumento del 70% nel numero di attacchi ransomware sferrati contro enti pubblici locali: il fenomeno ha interessato il 58% degli enti contro il 34% del 2020
- Il costo sostenuto dagli enti pubblici per rimediare ai danni di un attacco è stato pari a tre volte l’importo medio dei riscatti pagati in questo settore
“Se guardiamo a quanto accaduto negli Stati Uniti, ad Atlanta nel 2018, ripristinare i sistemi da un attacco che aveva chiesto un riscatto di 50.000 dollari è costato all’amministrazione cittadina 17 milioni di dollari. Questo è spesso il caso degli enti pubblici locali e statali, che pagano molto di più per tornare alla normalità e allinearsi alle pratiche di sicurezza correnti rispetto agli importi dei riscatti che vengono chiesti. Per quanto possa essere difficile ottenere l’assenso iniziale, le misure di cybersicurezza preventive rappresentano sul lungo termine un’alternativa decisamente preferibile rispetto a un rafforzamento delle difese una volta subìto un attacco”, ha sottolineato Wisniewski.
Alcuni possibili accorgimenti:
- Installare e mantenere difese di alta qualità in tutti i punti della rete aziendale. Verificare che gli standard di sicurezza impostati continuino a soddisfare le esigenze dell’azienda
- Ricercare proattivamente le minacce per identificare e bloccare gli attacchi prima che possano andare a segno. Se il team non ha il tempo o le competenze specifiche necessarie per poterlo fare internamente, è consigliabile rivolgersi a esperti di MDR esterni (Managed Detection and Response) esterno
- Rafforzare l’ambiente IT ricercando e neutralizzando i varchi di sicurezza più evidenti: dispositivi privi di patch, macchine non protette e porte RDP aperte, per esempio. Le soluzioni XDR (Extended Detection and Response) sono ideali a questo scopo
- Essere sempre pronti ad affrontare gli scenari peggiori e disporre di un piano di recovery aggiornato
- Effettuare attività di backup e ripristino in modo da assicurare i tempi di recupero più brevi possibili con il minimo impatto sulle attività
“The State of Ransomware in State and Local Government” 2022 ha coinvolto 5.600 professionisti IT di organizzazioni di medie dimensioni di 31 Paesi, di cui 199 operanti nel settore pubblico a livello locale e statale.
