Riscatto ransomware: il 46% delle aziende ha deciso di pagarlo

Sophos, società operante a livello globale nella sicurezza informatica di ultima generazione, presenta la nuova edizione del suo State of Ransomware 2022 che analizza uno dei fenomeni più aggressivi e dannosi nell’ambito della cybersecurity.
Il Rapporto analizza l’impatto che il ransomware ha avuto su 5.600 aziende in 31 paesi nel mondo e indica che il 66% delle aziende coinvolte nella ricerca ha subito un attacco ransomware nel corso del 2021, con una crescita del 78% rispetto al 2020 (quando il dato si era attestato al 37).  Ma il dato più impressionante riguarda l’entità del riscatto medio pagato dalle vittime a seguito di un attacco ransomware, che si è quintuplicato rispetto al periodo precedente, attestandosi sui 812.360 dollari mentre si è triplicata la quota di aziende che ha pagato riscatti pari a 1 milione di dollari o oltre.

Inoltre, preoccupa notare che il 46% delle aziende che hanno subito la cifratura dei propri dati abbia deciso di pagare ugualmente il riscatto, pur disponendo di altri modi per recuperare i dati, come i back up.

“Oltre alla crescita esponenziale dell’entità dei pagamenti del riscatto, questo Rapporto indica che anche la percentuale di vittime che pagano continua ad aumentare, anche nei casi in cui in realtà le aziende avrebbero altre opzioni a disposizione per recuperare i proprio dati”, commenta Chester Wisniewski, Principal Research Scientist di Sophos. “Le ragioni alla base di tale decisione sono molteplici, ad esempio backup incompleti oppure la volontà di evitare che i dati sottratti all’azienda vengano diffusi online. Inoltre, all’indomani di un attacco ransomware le aziende hanno estrema urgenza di tornare operative il prima possibile e ripristinare i dati criptati utilizzando i backup può essere un processo lungo e complesso. Per questo motivo, si può essere tentati di pensare che pagare un riscatto dopo un attacco ransomware sia un’opzione più veloce ma è anche una scelta che comporta notevoli incognite: le vittime dell’attacco non possono avere la certezza di quali mosse abbiano compiuto i cybercriminali ai loro danni, ad esempio aggiungendo backdoor, copiando password e credenziali sensibili e molto altro. Se le aziende non attueranno adeguate verifiche sui dati recuperati, si ritroveranno con molto materiale potenzialmente tossico nella propria rete e potranno dunque essere nuovamente esposti ad attacchi in futuro”.

Ecco alcuni dei dati particolarmente interessanti emersi da “State of Ransomware 2022”:

• In crescita le somme pagate per il riscatto: l’11% delle aziende ha dichiarato di aver pagato nel 2021 riscatti per 1 milione di dollari e oltre, con una crescita pari al 4% rispetto al 2020 mentre la percentuale di aziende che hanno dovuto corrispondere somme inferiori a 10.000 dollari è crollata al 21% (rispetto al 34% del 2020).
• Cresce il numero di vittime che pagano il riscatto: nel 2021 il 46% delle aziende i cui dati sono stati criptati a seguito di un attacco ransomware ha deciso di pagare il riscatto, e il 26% di quelle che erano riuscite a recuperare i propri dati tramite backup hanno nonostante ciò pagato un riscatto.
• L’impatto del ransomware può essere devastante: il riscatto medio per il ripristino a seguito di un attacco ransomware si è attestato nel 2021 a 1,4 milioni di dollari e il ritorno alla normale operatività ha richiesto in media fino a un mese. Il 90% delle aziende ha inoltre affermato che l’attacco subito ha inficiato seriamente il regolare svolgimento della propria attività e l’86% delle vittime nel settore privato ha segnalato di aver subito perdite economiche e opportunità di business a causa degli effetti del ransomware.
• In aumento il numero di aziende dotate di un’assicurazione contro i rischi cyber: l’83% delle aziende di medie dimensioni ha stipulato polizze assicurative in grado di proteggerle in caso di attacchi ransomware e, nel 98% degli episodi avvenuti, l’assicuratore ha coperto in modo totale o parziale i costi derivanti dai danni subiti (con un 40% che ha inoltre coperto i costi per il pagamento del riscatto).
• Il 94% del campione ha affermato che durante il processo di stipula di un’assicurazione contro i cyber rischi ha rilevato una crescente richiesta di verifica sulle misure di cybersecurity adottate, un costo crescente delle polizze e sempre meno compagnie disposte a offrire questo tipo di protezione assicurativa.

La situazione in Italia

Il 61% del campione di aziende italiane prese in esame nel Rapporto è stato colpito da ransomware nell’ultimo anno mentre il 27% si aspetta di essere colpito in futuro.

Delle aziende colpite da ransomware, il 63% ha subito l’encryption dei file mentre il 26% è riuscito a bloccare l’attacco prima che i dati venissero criptati.

Il 43% ha pagato il riscatto ransomware e ha recuperato i propri dati mentre il 78% dichiara di essere riuscito a recuperare i dati grazie al proprio backup. Tra le aziende che hanno pagato il riscatto, il 24% ha recuperato circa la metà dei propri dati e solo il 3% è riuscito a recuperare la totalità dei dati sottratti dai cybercriminali.

L’entità del riscatto pagato a seguito di un attacco ransomware si attesta nella maggior parte dei casi (37% del campione) tra i 100.000 e i 249.999 dollari.

Il 55% delle aziende italiane colpite ha dichiarato che l’impatto sulla propria operatività di business è stato molto alto e che il recovery time è stato fino a 1 settimana per il 36%, fino a un mese per il 34%, mentre solo l’11% del campione ha ripristinato la normalità in meno di un giorno.

Per quanto riguarda l’assicurazione dai rischi cyber, il 47% del campione dichiara che la propria polizza copre anche i danni causati da un attacco ransomware, il 7% pur avendo un’assicurazione cyber non ha copertura per questa tipologia di attacco e il 5% del campione dichiara che la propria azienda non ha un’assicurazione contro i rischi cyber.

“Quanto emerso dal Rapporto indica che potremmo aver raggiunto un picco nel viaggio evolutivo del ransomware, dove l’avidità degli aggressori per pagamenti di riscatti sempre più alti si sta scontrando con un indurimento del mercato delle assicurazioni in campo informatico, dato che gli assicuratori cercano sempre più di ridurre il loro rischio di ransomware e la loro esposizione“, aggiunge Chester Wisniewski. “Negli ultimi anni, è diventato sempre più facile per i criminali informatici diffondere ransomware, data la prevalenza di risorse IT in modalità as a service. Inoltre, molti fornitori di assicurazioni contro i cyber rischi hanno coperto una vasta gamma di costi di recupero del ransomware, compreso il riscatto, contribuendo probabilmente a richieste di riscatto sempre più elevate. Tuttavia, il Rapporto indica che i fornitori di cyber insurance stanno diventando più esigenti e severi e in futuro le vittime di ransomware potrebbero diventare meno disposte o essere meno in grado di pagare riscatti altissimi. Purtroppo, è improbabile che questo riduca il rischio complessivo di un attacco ransomware. Tali attacchi non sono così impegnativi dal punto di vista dell’impiego delle risorse come altre tipologie di cyberattacchi, quindi l’eventuale guadagno che i criminali informatici potranno ottenere sarà comunque un ottimo ritorno sull’investimento”.

Al fine di alzare il livello di protezione contro il ransomware, gli esperti di Sophos suggeriscono di adottare cinque semplici accorgimenti:

• Installare e tenere aggiornate le soluzioni di cybersecurity su tutto il perimetro aziendale monitorando policy e setting al fine di essere certi che soddisfino i requisiti di sicurezza più elevati.
• Monitorare proattivamente le minacce al fine di identificare e bloccare gli attacchi tempestivamente: qualora il team IT interno all’azienda non abbia il tempo o le competenze necessarie per gestire questi aspetti in house, è opportuno valutare il supporto di un esperto in Managed Detection and Response (MDR).
• Rafforzare il livello di sicurezza dell’ambiente IT identificando e colmando qualunque lacuna, dai device senza patch alle macchine non protette fino alle porte RDP aperte, ecc. Le soluzioni di Extended Detection and Response (XDR) sono ideali per tale scopo.
• Prepararsi al peggio: sapere cosa fare se si verifica un incidente informatico e mantenere sempre aggiornato il piano di recovery.
• Fare i backup e fare pratica di ripristino, in modo che l’azienda possa tornare alla normale operatività il più presto possibile, minimizzando danni e conseguenze.