Ransomware riscatto: perché pagare in caso di estorsioni online può essere pericoloso

Negli ultimi anni, il termine “ransomware” è diventato tristemente noto nel mondo della sicurezza informatica. Si tratta di un tipo di malware che, una volta che si introduce in un sistema informatico (spesso a seguito dell’apertura di un file allegato a un messaggio di posta elettronica) crittografa i dati presenti sul dispositivo infettato, rendendoli inaccessibili, e che chiede un riscatto in cambio della chiave di decrittazione. Quando si è colpiti da un attacco ransomware, si può essere tentati a pagare il riscatto per recuperare i propri dati. Tuttavia, la prima cosa da considerare è che l’attacco Ransomware implica automaticamente anche un Data Breach, quindi è necessario modificare l’approccio alla gestione della violazione.

Con il termine Data Breach, ci si riferisce a qualsiasi violazione dei dati personali che può mettere a rischio la loro riservatezza, integrità o disponibilità. Il ransomware ne rappresenta un tipico esempio, dal momento che i dati vengono sottratti e resi indisponibili. Talvolta, alla perdita della disponibilità si aggiunge anche quella della riservatezza.

Per prevenire questi spiacevoli episodi, le aziende più avanzate scelgono di ottenere la certificazione ISO 27000.

La ISO/IEC 27000 definisce la sicurezza delle informazioni utilizzando l'acronimo RID, che indica la necessità di preservare:

• Riservatezza
• Integrità
• Disponibilità

I data breach si verificano appunto quando viene compromesso uno di questi aspetti del RID, come nel caso qui preso in ipotesi.

La scelta di pagare un riscatto può rivelarsi non solo infruttuosa, ma estremamente pericolosa e foriera di ulteriori e nefaste conseguenze.

Il ransomware è oggi la tipologia di attacco informatico più frequente ed insidiosa per enti pubblici, imprese di ogni dimensioni e privati cittadini. Cedere alle richieste degli estorsori cela diverse insidie, per questo il consiglio è quello di prendere in considerazione alternative più sicure e sostenibili.

Ransomware: perché pagare è inutile e pericoloso

Quando si è vittime di un data breach, in particolare del ransomware, vanno necessariamente fatte delle considerazioni in merito alla scelta se pagare o meno il riscatto, dal momento che si tratta di una decisione che, oltre ad essere pressoché inutile, può rivelarsi persino pericolosa.

• Inutilità della scelta: pagare non garantisce il recupero dei dati
  Una delle ragioni principali per cui pagare il riscatto è inutile è che non c'è alcuna garanzia che i cybercriminali forniranno la chiave di decrittazione e non diffonderanno i dati. Secondo un’indagine del 2022 svolta dall’Enisa (Threat Landscape for Ransomware Attacks, luglio 2022), infatti, nel 47,83% dei casi esaminati, i dati sono comunque stati diffusi dopo il pagamento del riscatto.

• Possibili conseguenze legali dell’acquiescenza al ricatto
  Devi inoltre considerare le conseguenze di tale scelta, che mutano a seconda del soggetto che la pone in essere. Se infatti nel caso del privato cittadino la dottrina esclude la possibilità di muovere contro di esso alcuna contestazione di reato, diverso è il caso in cui a pagare il riscatto sia un ente pubblico o un’azienda privata.

• Ente pubblico: il funzionario che ha provveduto al pagamento rischia di incorrere in una responsabilità personale per danno all’erario allorquando non riesca a dimostrare che il danno procurato all’Amministrazione con la sua condotta, sia stato comunque minore rispetto a quello che l’ente avrebbe subìto dalla perdita dei dati.
  
  
• Azienda privata: in questo caso si verificherebbero due tipi di problematiche: la prima, legata alla mancata contabilizzazione della somma versata a titolo di riscatto (che per ovvi motivi non potrebbe avere una giusta collocazione in bilancio) aprirebbe la strada alla contestazione di ben tre reati, false comunicazioni sociali (artt. 2621 c.c.), impedito controllo (2625 c.c.) e ostacolo all’esercizio delle funzioni dell’autorità (2638 c.c.). La seconda, invece, nel caso in cui il pagamento venga effettuato a vantaggio dell’ente, aprirebbe il campo a una responsabilità ex art. 25-ter del D.lgs. n. 231/2001: Responsabilità amministrativa delle società e degli enti.
  
  
• Lesione dell’immagine dell’aziende
  Per le aziende, pagare un riscatto può danneggiare gravemente la reputazione. I clienti, i partner e gli investitori potrebbero perdere fiducia in un'azienda che cede alle richieste dei cybercriminali, vedendola come vulnerabile e incapace di proteggere i propri dati. La perdita di fiducia è un danno molto grave, poiché può avere un impatto duraturo sul business, compromettendo le relazioni e riducendo il valore del marchio.

L'Importanza della Formazione

Evitare di diventare vittime di ransomware, o più in generale di data breach, non è soltanto possibile, ma è assolutamente necessario nell'era digitale odierna. La parola d'ordine è formazione. Educare i dipendenti sui rischi associati al ransomware e sulle misure preventive è cruciale per la sicurezza aziendale.

La formazione continua sulla sicurezza informatica è essenziale. Attraverso sessioni di aggiornamento regolari, i dipendenti possono acquisire le conoscenze necessarie per riconoscere le minacce e reagire prontamente agli attacchi. Questo non solo riduce significativamente il rischio di infezioni da ransomware, ma contribuisce anche a creare un ambiente di lavoro più sicuro e protetto. Adottare una strategia proattiva nella prevenzione del ransomware offre numerosi vantaggi. Innanzitutto, permette di evitare perdite economiche importanti che possono derivare da un attacco informatico. I costi associati a un'infezione da ransomware includono non solo il riscatto richiesto dagli attaccanti, ma anche le spese per il ripristino dei sistemi, la perdita di dati e l'interruzione delle attività aziendali.

Investi in sicurezza, forma i tuoi dipendenti, rivolgiti a professionisti esperti, i migliori sono certificati 27001/2022, a garanzia di importanti skill sulla sicurezza informatica e sulle informazioni. Sviluppa e implementa una strategia efficace, così da navigare serenamente tra le complessità legali associate a questi problemi. Nel frattempo, ecco una checklist per iniziare subito ad avere maggior consapevolezza della situazione.