Il ransomware, compie trentacinque anni. Il software malevolo più famoso al mondo forse rappresenta la minaccia peggiore nel campo della sicurezza informatica. Colpisce settori cruciali come sanità, istruzione e servizi finanziari, con un’attenzione particolare verso produzione e infrastrutture critiche. E solo nel 2024 ha causato perdite globali per 1,1 miliardi di dollari. Fra giugno 2023 e giugno 2024 ha costituito il 44% di tutti i casi segnalati da Cisco Talos.
Ma qual è l’origine del ransomware? Il primo potrebbe essere stato il Trojan AIDS, un floppy disk creato nel 1989 dal dottor Joseph L. Popp, il quale richiedeva alle proprie vittime un riscatto tramite corrispondenza in cambio dei dati rubati. Il fenomeno si è poi allargato a macchia d’olio, sviluppandosi nel giro di 15 anni a una velocità decisamente superiore rispetto alle altre minacce informatiche e diventando un business globale.
Dal floppy disk a minaccia globale
Con il progressivo ampliamento delle reti informatiche, nel 2004 è arrivato il GPCode, un allegato e-mail mascherato da offerta di lavoro, considerato la genesi del ransomware moderno.
Una delle principali sfide del ransomware è occultare la tracciabilità del denaro. E se nel 2010 l’arrivo del bitcoin ha rappresentato la risposta ideale per i criminali informatici, offrendo un metodo di pagamento anonimo e quasi impossibile da tracciare, nel 2016 il ransomware SamSam ha segnato un punto di svolta. È stato il primo a colpire grandi aziende con richieste di riscatto ‘a sette’ zeri.
Poco dopo, sono nati i primi gruppi organizzati di criminali informatici, pronti a sfruttare al massimo questa nuova era del cybercrimine.
Maze o il saltò di “qualità”
A partire dal 2019, con l’introduzione del ransomware Maze, alcune organizzazioni di cybercriminali hanno adottato nuove tattiche di estorsione: minacciare di rendere pubblici i dati esfiltrati qualora il riscatto non venga pagato.
Gli obiettivi principali odierni sono piccole imprese e infrastrutture critiche (acqua, energia, trasporti…), che non dispongono di tecnologie e risorse necessarie per fronteggiare l’aumento esponenziale delle minacce informatiche.
Ma il ransomware continua a evolversi. Nell’ultimo trimestre, Cisco Talos ha rilevato numerose nuove varianti, continuando al contempo a rispondere alle minacce già note.
Il semplice backup dei dati è il suo tallone d’Achille
Ma il ransomware ha un tallone d’Achille: il backup dei dati. In caso di attacco e crittografia dei dati, è possibile ripristinarli utilizzando la copia di backup. Allo stesso tempo, rafforzare le difese software, migliorare la rete e aggiornare le patch è fondamentale, così come segmentare le reti, per limitare i danni in caso di intrusione.
Con il rafforzamento delle difese, dei sistemi di rilevamento e delle risposte, gli attori del ransomware si affidano sempre più alla distrazione dei lavoratori. Grazie a modelli linguistici avanzati come ChatGPT, riescono a infiltrarsi nelle reti con maggiore facilità, senza dover ricorrere all’hacking tradizionale.