Data Leak Site: quando il backup non basta più

Per anni il ransomware ha funzionato in un modo solo: cifrare i dati e chiedere soldi per restituirli. Chi aveva un backup fatto bene ripristinava e non pagava. Poi le cybergang hanno cambiato metodo.

Oggi i dati vengono prima copiati fuori, e solo dopo cifrati. E se la vittima non paga, finiscono su un Data Leak Site: una pagina pubblica dove il gruppo elenca le aziende colpite, mostra un assaggio di quello che ha preso e fa scorrere un conto alla rovescia.

Il ripristino da backup, a quel punto, non serve a niente. Vediamo come funzionano questi siti, cosa è cambiato nel calcolo di chi subisce l’attacco, e da dove si comincia per non arrivarci.

1. Che cos’è un Data Leak Site
2. Come funziona la pressione
3. Doppia e tripla estorsione
4. Chi viene colpito
5. Cosa fare se la vostra azienda compare su un DLS
6. Da dove si comincia davvero

Che cos’è un Data Leak Site

Un Data Leak Site, abbreviato in DLS, è una piattaforma gestita da un gruppo di cybercriminali su cui vengono pubblicati i dati sottratti alle organizzazioni colpite. Si trova sul dark web, raggiungibile solo attraverso reti che rendono difficile risalire a chi lo ospita.

Non è un archivio, è una vetrina. La differenza conta, perché il sito non nasce per distribuire i dati: nasce per farli vedere. Ogni voce elenca il nome dell’azienda, la data dell’attacco, la quantità di materiale sottratto e, quasi sempre, un campione scaricabile che serve a dimostrare che il furto è reale.

Molti di questi siti hanno un’estetica curata: logo del gruppo, sezione notizie, a volte un modulo di contatto per la stampa. È deliberato. Un gruppo che si presenta come un’organizzazione strutturata è un gruppo con cui le vittime trattano più volentieri, perché sembra più probabile che mantenga la parola. È la stessa logica che regge il funzionamento delle cybergang moderne, che operano come imprese con ruoli, reputazione e clienti.

Come funziona la pressione

Il meccanismo si regge su una sequenza che ha poco a che vedere con la tecnica e molto con la psicologia.

Prima l’attacco, che resta silenzioso: i dati vengono individuati e copiati fuori nell’arco di giorni o settimane, senza che nessuno se ne accorga. È la fase di data exfiltration, e quasi nessuno la rileva mentre accade. Poi la cifratura, che è il momento in cui l’azienda scopre di essere stata colpita. Poi la richiesta, con un termine.

Se il termine scade, sul DLS compare il nome dell’azienda insieme a un campione dei dati. Non tutto: una parte. Il resto viene pubblicato a scaglioni, con un nuovo conto alla rovescia a ogni passaggio.

È a questo punto che la trattativa cambia natura. Non si sta più negoziando il ripristino di un sistema, ma il silenzio di qualcuno. E il vantaggio negoziale si sposta interamente dalla parte di chi attacca, perché ha già quello che gli serve e non deve fare altro che aspettare.

Va detta una cosa che nelle presentazioni commerciali si legge di rado: pagare non chiude la questione. Non esiste nessuna garanzia che le copie vengano distrutte, e in diversi casi documentati aziende che avevano pagato si sono ritrovate sul DLS mesi dopo, oppure contattate una seconda volta dallo stesso gruppo.

Doppia e tripla estorsione

Il passaggio dalla singola alla doppia estorsione è la ragione per cui i DLS esistono. Quando il backup è diventato una difesa efficace contro la cifratura, i gruppi hanno aggiunto una leva che il backup non tocca: la pubblicazione.

La tripla estorsione aggiunge un terzo bersaglio. I criminali contattano direttamente i clienti, i fornitori o i pazienti le cui informazioni compaiono nei dati sottratti, e chiedono a loro di fare pressione sull’azienda. Oppure segnalano la violazione alle autorità di controllo, sfruttando il fatto che un’azienda che non ha notificato entro i termini si trova in una posizione peggiore.

In tutti e tre i casi l’oggetto del ricatto non è il dato: è quello che succede all’azienda quando il dato diventa pubblico. È il motivo per cui il modello ransomware as a service si è dimostrato così redditizio, e perché il numero di gruppi attivi continua a crescere anziché diminuire.

Chi viene colpito

La convinzione più diffusa fra le aziende di dimensione media è di essere troppo piccole per interessare. I nomi elencati sui DLS raccontano il contrario, e la ragione è semplice: la selezione delle vittime non è quasi mai mirata.

I gruppi ransomware lavorano su opportunità. Scansionano internet alla ricerca di servizi esposti con vulnerabilità note, comprano accessi già ottenuti da altri, mandano campagne di phishing a liste enormi. Chi finisce sul DLS non è chi è stato scelto: è chi si è trovato con una porta aperta nel momento sbagliato.

Alcuni settori compaiono più di altri, e il manifatturiero è fra i primi. Non per il valore dei dati, ma perché un’azienda che produce non può permettersi giorni di fermo, e questo la rende più propensa a trattare. Lo stesso vale per la sanità e per i servizi professionali, dove i dati trattati rendono la pubblicazione particolarmente dannosa.

Sul piano geografico i paesi con economie più grandi sono i più rappresentati, ma la distribuzione riflette semplicemente dove ci sono più aziende con sistemi esposti.

Cosa fare se la vostra azienda compare su un DLS

Scoprire il proprio nome su un sito di questo tipo è un momento difficile, e la tentazione è di reagire in fretta. Vale la pena resistere: l’ordine delle azioni conta più della velocità.

La prima cosa è verificare che il leak sia autentico. Non tutti lo sono: esistono gruppi che rivendicano attacchi mai avvenuti, oppure che ripubblicano dati di violazioni precedenti spacciandoli per nuovi. Il campione pubblicato va confrontato con i dati interni prima di dare qualsiasi cosa per certa.

La seconda è coinvolgere chi di dovere: il responsabile IT, la direzione, e il consulente legale. Questo passaggio non è burocratico. La violazione di dati personali fa scattare obblighi di notifica con termini precisi, e per i soggetti che rientrano nel perimetro della direttiva NIS 2 se ne aggiungono altri verso il CSIRT Italia. I termini decorrono da quando l’azienda viene a conoscenza dell’incidente, non da quando decide cosa fare.

La terza è capire da dove sono entrati e chiudere quella via. È la parte che richiede competenze specifiche e che va organizzata prima di averne bisogno: il tema è trattato nell’articolo sull’Incident Action Plan.

La quarta è la comunicazione. Clienti, partner e dipendenti scopriranno la cosa, e la domanda è solo se la scopriranno da voi o da un giornale. Una comunicazione tempestiva e onesta costa meno di una smentita che poi va ritirata.

E la quinta, quando l’emergenza è passata, è verificare che la porta usata dall’attaccante sia davvero chiusa. Non perché lo dice un ticket: perché qualcuno ha provato a rientrarci.

Da dove si comincia davvero

Tutto quello che abbiamo descritto accade a valle. A monte c’è una fase molto più noiosa e molto più decisiva, ed è il momento in cui l’attaccante entra.

Nei rilievi che facciamo le condizioni ricorrenti sono poche e sempre le stesse. Un servizio di gestione remota raggiungibile da internet, attivato per un’esigenza temporanea e mai richiuso. Un sistema con una vulnerabilità nota per cui la correzione esiste da mesi. Credenziali di un utente ordinario che permettono di raggiungere molto più di quanto quel ruolo richieda. Una rete non segmentata, dove dalla postazione di un impiegato si arriva ai server.

Nessuna di queste è una vulnerabilità sofisticata, e tutte e quattro si trovano andando a guardare. Un attacco che finisce su un Data Leak Site raramente è un attacco brillante: è un attacco che ha trovato una porta che nessuno sapeva fosse aperta.

C’è poi la parte che riguarda le persone, e che nessuno strumento copre. La via d’ingresso più usata resta un messaggio che qualcuno apre, e su quella la formazione del personale incide più di qualsiasi tecnologia. Insieme all’autenticazione a più fattori, che è la misura che rende inutili le credenziali rubate, e che troppo spesso viene disattivata per qualche utente e poi dimenticata così.