I 5 segnali di allarme che possono salvare le aziende da un attacco informatico di ransomware

Abbiamo già scritto di come si evolve la minaccia ransomware e di quanto costa alle vittime il danno subito, indipendentemente dal fatto che paghino o meno un riscatto.

In questi mesi ci sono stati diversi attacchi informatici di alto profilo, come quello subito da Geox - l’azienda italiana di calzature che è stata vittima di un attacco informatico che ha paralizzando i sistemi del suo quartier generale - vale per ciò la pena chiedersi perché il ransomware continua ad avere successo contro organizzazioni che dovrebbero essere ben difese e se c'è qualcosa che possiamo fare a proposito.

Gli ambienti IT moderni sono ambienti altamente complessi e sempre più distribuiti e basati su cloud, soprattutto sulla scia della pandemia COVID-19. La necessità di implementare una sicurezza multilivello avanzata su tutte le reti, gli asset e gli endpoint è scontata ma, la sicurezza garantita al 100% è evidentemente un mito, poiché il panorama delle minacce si adatta e cambia continuamente. Le nostre difese devono essere altrettanto agili e adattabili.

Normalmente coloro che cercano di difenderci dagli "incidenti" trascorrono il loro tempo aiutando le organizzazioni a contenere e neutralizzare gli attacchi subiti ma potrebbero anche imparare a identificare gli indizi e gli schemi utilizzati dagli hacker, che possono segnalare pericoli imminenti, con lo scopo di prevenire e anticipare l'attacco.

Vale la pena condividere le informazioni che i soccorritori digitali acquisiscono lavorando direttamente con le vittime di attacchi informatici e, apprendere dalle stesse, come aiutare le organizzazioni prima che gli hacker possano causare danni reali.

Le vittime di attacchi informatici spesso presumono che gli aggressori abbiano fatto irruzione poco prima di essere scoperti, anche se in realtà questo è raro. Gli intrusi probabilmente sono stati lì per giorni, settimane o anche più a lungo, intrufolandosi per la rete, esplorando, rubando, disabilitando, modificando ed eliminando file. Solo una volta che hanno fatto tutto ciò che per loro è necessario danno luogo all'attacco visibile che, nel 90% dei casi, si tratta di ransomware, cioè un tipo di malware che impedisce l’accesso al computer o alle informazioni in esso contenute, tramite la crittografia, allo scopo di chiedere un riscatto per ottenere la chiave di decodifica che consente di riaccedere ai dati.

Gli hacker riescono a rimanere inosservati per così tanto tempo, abusando di strumenti IT legittimi, aggirando le tecnologie di sicurezza e compromettendo gli account esistenti degli amministratori in modo che nulla appaia sospetto, a meno che tu non sappia cosa cercare.

I segnali d'allarme

Fortunatamente, gli esperti di sicurezza informatica sanno cosa cercare e come scoprire le tracce lasciate dagli intrusi. Grazi all'esperienza acquisita i soccorritori digitali sono in grado di scoprire anomalie nel sistema che suggeriscono la presenza di una azione malevola.

Per essempio, se nessuno sa cosa stia facendo uno strumento o perché si stia svolgendo una certa attività, e perché lì, in quel momento, è probabile che qualcosa non stia funzionando bene e che ci sia un intruso che sta agendo, e si deve indagare subito.

Ci sono alcuni indicatori particolari che rilevano quasi certamente che gli aggressori hanno cercato di farsi un'idea di come violare la tua rete per imparare come possono ottenere gli account e gli accessi di cui hanno bisogno per lanciare un ransomware.

Ecco una rapida istantanea di cosa devi cercare

1. Uno scanner di rete, in particolare su un server, di cui nessuno degli amministratori IT può tenere conto.
   
2. L'attività di qualsiasi strumento, inclusi quelli commerciali, con licenza, in grado di disabilitare il software antivirus: potrebbe essere solo qualcuno che sta legittimamente testando le difese internamente all'azienda, ma è probabile che non lo sia.
   
3. La presenza di strumenti open source in grado di estrarre nomi utente e password. Ancora una volta potrebbe essere qualcuno nel team IT che lo sta utilizzando per uno scopo legittimo, ma devi essere sicuro che sia un amico che sta agendo perché gli aggressori li usano per gli stessi scopi, fanno affidamento sul fatto che tu supponga che sia solo un collega che sta operando.
   
4. Qualsiasi modello di comportamento inaspettato, come un rilevamento attivato alla stessa ora ogni giorno, o lo stesso schema che compare a intervalli regolari. Questi sono degli ottimi segnali che evidenziano che qualcosa non va, anche se hai già rilevato e rimosso file dannosi e pensi che sia tutto a posto.
   
5. Qualsiasi segno di un "test" o di un attacco su scala molto ridotta. A volte gli aggressori provano questi micro assalti per vedere se i loro strumenti funzionano. Se noti questo ultimo segnale potresti avere pochissimo tempo prima che l'attacco principale avvenga, quindi devi muoverti velocemente.
   

Per concludere, l'impatto di un attacco informatico può essere è di vasta portata, in particolare per le organizzazioni in cui esiste una ricaduta nel mondo reale come, per esempio le organizzazioni sanitarie, dove un attacco riuscito significa operazioni annullate, raggi X persi, risultati di scansione del cancro crittografati e altro ancora. Ma un attacco informatico causa enormi danni anche alle aziende come sappiamo.

Cercare i primi segnali di allarme e assicurarsi di attuare la giusta strategia di sicurezza per impedire agli aggressori di avere successo, utilizzando diverse opzioni anche empiriche, per identificare le anomalie che solo il codice non può raggiungere, contribuirà a rafforzare le tue difese contro gli avversari come il ransomware. Non dare mai per scontato che non sarai un bersaglio.

---

Letture correlate:

• Per non cadere vittime del ransomware
• Password deboli e rubate, grandi rischi per le PMI
• La sicurezza digitale nel commercio al dettaglio e nell'ospitalità

---

Scopri come trasformare il tuo spazio di lavoro!
Contattaci ora +39 0422 431640 oppure scrivici:

Scrivi ora!