Ransomware as a Service: cosa cambia per chi viene attaccato

Il modello ad affiliazione nel ransomware è documentato da anni: c’è chi sviluppa lo strumento di cifratura e gestisce l’infrastruttura di estorsione, e c’è chi lo usa contro bersagli scelti da sé, dividendo i proventi. Su questo blog il funzionamento è descritto nell’analisi di LockBit 4.0 e in quella del ransomware Lynx, e la struttura dei gruppi in quella sulle cybergang.

Quello che manca, e che riguarda direttamente voi, è la domanda opposta: se chi vi attacca è un affiliato e non l’autore del malware, cosa cambia per la vostra azienda.

Cambia più di quanto sembri. Cambia quanto tempo avete, cambia cosa accade se decidete di pagare, cambia quali fasi dell’attacco potete realmente intercettare, e cambia il fatto che l’arresto di un gruppo criminale non riduce il rischio per voi. Vediamo perché.

1. Chi vi attacca non è chi ha scritto il malware
2. L’affiliato ha fretta, e questo si vede
3. Pagare non dipende da chi vi ha attaccato
4. L’esfiltrazione non è una scelta dell’affiliato
5. Perché gli arresti non vi mettono al sicuro
6. Cosa significa difendersi da un processo industriale

Chi vi attacca non è chi ha scritto il malware

La prima conseguenza è di attribuzione, e ha effetti pratici.

Quando leggete che un certo gruppo ransomware ha colpito la vostra azienda, quel nome identifica lo strumento e l’infrastruttura di estorsione, non necessariamente chi è entrato nei vostri sistemi. Dietro lo stesso nome operano decine di affiliati diversi, con competenze molto diseguali: alcuni sono operatori esperti, altri sanno usare un pannello di controllo e poco più.

Questo spiega una cosa che nei rapporti post-incidente sembra incoerente. Attacchi attribuiti allo stesso gruppo mostrano livelli di sofisticazione incompatibili fra loro: in un caso movimenti laterali puliti e cancellazione delle tracce, in un altro rumore evidente per giorni. Non è lo stesso attaccante: è lo stesso prodotto in mani diverse.

Per voi significa che il profilo di rischio non si deduce dal nome del gruppo. La variabile che conta è come è entrato quello specifico affiliato, e la via d’ingresso è spesso la parte più banale di tutta la catena.

L’affiliato ha fretta, e questo si vede

Un operatore indipendente decide da sé quanto restare nella vostra rete. Un affiliato lavora in un rapporto economico che lo spinge nella direzione opposta: il suo guadagno dipende dal numero di operazioni concluse, non dalla profondità di ciascuna.

Il risultato è una compressione dei tempi. Le fasi di ricognizione interna, escalation dei privilegi e cifratura tendono a concentrarsi in una finestra breve — in molti casi documentati si parla di ore, non di settimane. Il modello premia la velocità e l’automazione, e questo ha due implicazioni opposte.

La prima è cattiva: avete meno tempo per accorgervene. La seconda è utile, e viene sottovalutata: un attacco veloce e automatizzato segue percorsi standard e prevedibili. Chi ha fretta non inventa strade nuove, usa quelle che il pannello gli mette a disposizione. Sono strade note, e questo le rende verificabili in anticipo.

Pagare non dipende da chi vi ha attaccato

Questo punto raramente viene spiegato a chi si trova a decidere, e cambia i termini della decisione.

Nel modello ad affiliazione, l’infrastruttura crittografica e la gestione delle chiavi restano in mano a chi sviluppa lo strumento, non all’affiliato che ha condotto l’attacco. L’affiliato negozia, ma non possiede necessariamente ciò che vi serve per tornare operativi. Un pagamento passa quindi per una filiera: state trattando con un intermediario che dipende da un fornitore con cui non avete alcun rapporto.

Ne derivano scenari documentati e ricorrenti: strumenti di decifratura difettosi che ripristinano solo una parte dei dati, dispute fra affiliato e sviluppatore che bloccano la consegna, gruppi smantellati fra il pagamento e la restituzione. Nessuno di questi dipende dalla buona fede di chi ha negoziato con voi.

Il che porta a un’osservazione elementare: qualunque valutazione sul pagamento va fatta prima, non durante. Durante, l’unica informazione disponibile è quella che vi fornisce chi vi sta estorcendo.

L’esfiltrazione non è una scelta dell’affiliato

La doppia estorsione — dati cifrati e contemporaneamente copiati, con minaccia di pubblicazione — viene spesso descritta come una tattica scelta caso per caso. Nel modello ad affiliazione non lo è.

Il sito su cui i dati vengono pubblicati, i canali di comunicazione, il conto alla rovescia: sono infrastruttura fornita dal gruppo, inclusa nel servizio. L’affiliato non decide se esfiltrare, perché il flusso di lavoro che gli viene consegnato lo prevede per costruzione. Dovete quindi assumere che i dati siano usciti, sempre, indipendentemente da come si presenta la richiesta.

Questo ha una conseguenza che riguarda gli obblighi e non la tecnica. Un’esfiltrazione di dati personali attiva gli adempimenti previsti dal GDPR e, per i soggetti in perimetro, quelli di segnalazione della direttiva NIS2. Sono decisioni con scadenze rigide, che vanno prese mentre i sistemi sono fermi: sapere in anticipo quali dati stanno dove riduce quel margine di incertezza.

Perché gli arresti non vi mettono al sicuro

Periodicamente le forze dell’ordine internazionali smantellano l’infrastruttura di un gruppo ransomware. Sono operazioni reali e utili, e vengono comunicate come vittorie. Il loro effetto sul vostro rischio è però limitato, e capire perché è istruttivo.

Ciò che viene colpito è il fornitore: server, siti di pubblicazione, canali di pagamento. Gli affiliati non sono l’infrastruttura. Sono persone con competenze, accessi già acquisiti e bersagli già individuati, e quando un fornitore cade migrano su un altro entro poche settimane, portando con sé tutto il lavoro preparatorio. Il ripetuto ritorno in attività di gruppi dati per sconfitti, di cui l’articolo su LockBit è l’esempio più documentato, segue esattamente questa logica.

C’è poi la parte che precede tutto e che non viene toccata da nessun arresto: il mercato degli accessi. Chi vende ingressi aziendali lavora a monte del ransomware e rifornisce chiunque paghi, come descritto nell’articolo sugli initial access broker. Finché quel mercato funziona, l’ingresso alla vostra azienda resta acquistabile a prescindere da chi lo userà.

Cosa significa difendersi da un processo industriale

Mettendo insieme quanto precede, il quadro difensivo cambia in tre punti.

Il primo è che la standardizzazione lavora anche per voi. Un attacco industrializzato usa vie d’ingresso ricorrenti — servizi esposti, accessi remoti raggiungibili, credenziali riutilizzate, sistemi non aggiornati — perché sono quelle che si automatizzano. Sono anche le più semplici da verificare con una scansione periodica delle vulnerabilità, e chiuderle esclude la maggior parte delle campagne opportunistiche senza fare nulla di sofisticato.

Il secondo è che la finestra di rilevamento si è accorciata, quindi conta più la riduzione della superficie che la reattività. Se dall’ingresso alla cifratura passano ore, un presidio che dipende dal notare qualcosa in tempo utile è fragile per costruzione. Quello che tiene è la limitazione dei privilegi e la segmentazione: riducono cosa un accesso vale, indipendentemente da quanto velocemente lo scoprite.

Il terzo riguarda il modo di verificare. Sapere che avete servizi esposti e sistemi non aggiornati è un elenco di rilievi; sapere se da quei rilievi un attaccante arriva ai vostri dati è una risposta diversa, e la ottenete solo provando. È la distinzione fra vulnerability assessment e penetration test, e in questo scenario ha un vantaggio concreto: dato che gli affiliati seguono percorsi standard, quegli stessi percorsi si possono riprodurre in condizioni controllate e vedere dove si fermano.