Trace Id is missing
Passa a contenuti principali
Microsoft Security

Che cos'è il ransomware?

Scopri cos'è il ransomware, come funziona e come proteggere la tua azienda da questo tipo di attacco informatico.
Proteggiti dal ransomware

Informazioni sul ransomware

Il ransomware è un tipo di software dannoso, o malware, usato dai criminali informatici per bloccare l'accesso, eliminare o pubblicare i dati critici di una vittima, a meno che non venga pagato un riscatto. Il ransomware tradizionale è destinato a singoli utenti e organizzazioni, ma due recenti sviluppi, ransomware gestito dall'uomo e ransomware come servizio, sono diventati una minaccia più grande per le aziende e altre organizzazioni di grandi dimensioni.

In questi tipi di attacchi, un gruppo di utenti malintenzionati utilizza la propria intelligenza collettiva per accedere allae reti aziendali. Prima di installare il ransomware, ricercano l'azienda per comprendere le vulnerabilità e, in alcuni casi, scoprono documenti finanziari che li aiutano a impostare la cifra del riscatto.

In un modello ransomware come servizio, un set di sviluppatori criminali crea il ransomware e quindi assume altre consociate di criminali informatici per violare la rete di un'organizzazione e installare il ransomware. I due gruppi dividono i profitti in base a una tariffa concordata.

Tutti i ransomware hanno un impatto significativo sulle persone e sulle organizzazioni che hanno subito un attacco. Possono essere necessari giorni, settimane o persino mesi per riportare online i sistemi interessati, con conseguente perdita di produttività e vendite. Le organizzazioni potrebbero anche subire danni alla reputazione con i clienti e la community.

Punti chiave

  • Il ransomware è un tipo di malware che crittografa i dati e richiede un pagamento di riscatto per decrittografarli.
  • Può essere diffuso tramite messaggi di posta elettronica di phishing, siti Web dannosi e kit di exploit.
  • In questi tipi di attacchi, un gruppo di utenti malintenzionati utilizza la propria intelligenza collettiva per accedere alla rete aziendale di un'organizzazione.
  • I due tipi principali di ransomware sono il ransomware crittografico, che crittografa i dati e i file sensibili, e il ransomware locker, che blocca le minacce fuori dai loro dispositivi.
  • Gli attacchi ransomware possono causare danni finanziari, di reputazione e operativi significativi a singoli utenti e aziende.
  • È possibile adottare alcune misure per proteggersi da attacchi ransomware, ad esempio l'uso di software di sicurezza avanzata, il backup dei dati e la promozione della consapevolezza della sicurezza informatica nell'organizzazione.

Tipi di ransomware

Il ransomware è disponibile in due forme principali: ransomware crittografico e ransomware locker, che sono ulteriormente suddivisi in diversi sottotipi.

Crypto ransomware
In un attacco ransomware crittografico, l'utente malintenzionato crittografa i dati o i file sensibili di una vittima in modo che non possa accedervi a meno che non paghi un riscatto richiesto. In teoria, una volta che la vittima paga, l'utente malintenzionato passa una chiave di decrittografia che gli consente di accedere ai file o ai dati, ma non esiste alcuna garanzia. Molte organizzazioni hanno perso definitivamente l'accesso ai file anche dopo aver pagato il riscatto.

Locker ransomware
Nel ransomware locker, gli utenti malintenzionati bloccano una vittima dal dispositivo e gli presentano una richiesta di riscatto su schermo con istruzioni su come pagarlo per ottenere nuovamente l'accesso. Questa forma di ransomware in genere non prevede la crittografia, quindi una volta che la vittima riottiene l'accesso al proprio dispositivo, tutti i file e i dati sensibili sono preservati. Il ransomware locker viene comunemente usato nei dispositivi mobili.

Queste due forme principali di ransomware rientrano nei sottotipi seguenti:

Scareware
Il malware usa la paura per fare in modo che le persone paghino un riscatto. In questi tipi di cyberattacchi, gli utenti malintenzionati si comportano come forze dell'ordine e inviano un messaggio alla vittima che li minaccia di un delitto e richiedono un'azione legale.

Doxware
In Doxware, gli utenti malintenzionati rubano informazioni personali e minacciano di rivelarle pubblicamente se non viene pagato un riscatto.

Ransomwar a doppia estorsione
Nel ransomware a doppia estorsione, gli utenti malintenzionati non solo crittografano i file, ma rubano anche i dati sensibili e minacciano di rilasciarli pubblicamente se il riscatto non viene pagato.

Wiper
I wiper minacciano di eliminare i dati della vittima se non paga il riscatto.

Come funziona il ransomware

La maggior parte degli attacchi ransomware segue un processo in tre passaggi.

1. Ottenere l'accesso
Gli utenti malintenzionati usano vari metodi per ottenere l'accesso ai dati sensibili di un'azienda. Uno dei più comuni è il phishing, ovvero quando i criminali informatici usano posta elettronica, SMS o telefonate per indurre le persone a fornire le proprie credenziali o a scaricare malware. Gli utenti malintenzionati prendono di mira anche i dipendenti e altri utenti utilizzando siti Web dannosi che usano un kit di exploit per scaricare e installare automaticamente malware nel dispositivo della vittima.

2. Crittografare i dati
Una volta che gli utenti malintenzionati ottengono l'accesso ai dati sensibili, copiano e distruggono il file originale insieme ai backup a cui hanno fatto accesso. Crittografano quindi la copia e creano una chiave di decrittografia.

3. Richiedere un riscatto
Dopo aver reso i dati inaccessibili, il ransomware recapita un messaggio tramite una casella di avviso che spiega che i dati sono stati crittografati e viene richiesta una somma di denaro, in genere in criptovaluta, in cambio della chiave di decrittografia. Gli utenti malintenzionati dietro questi attacchi potrebbero anche minacciare di rilasciare i dati al pubblico se la vittima rifiuta di pagare.

Impatto di un attacco ransomware

Oltre all'interruzione immediata delle operazioni, le conseguenze di un attacco ransomware possono includere perdite finanziarie significative, danni alla reputazione e sfide operative a lungo termine.

Implicazioni finanziarie
Il costo del pagamento di un riscatto può essere notevole, spesso raggiungendo i milioni di dollari e non c'è garanzia che gli utenti malintenzionati forniscano la chiave di decrittografia o che funzioni correttamente.

Anche quando le organizzazioni rifiutano di pagare il riscatto, possono comunque verificarsi costi finanziari elevati. L'interruzione causata da un attacco ransomware può causare tempi di inattività prolungati, che influiscono sulla produttività e potrebbero comportare una perdita di ricavi. Il ripristino da un attacco comporta spese aggiuntive, tra cui il costo di indagini forensi, spese legali e investimenti in misure di sicurezza migliorate.

Danni alla reputazione
Clienti e partner potrebbero perdere la fiducia in un'azienda compromessa, causando un calo della fedeltà dei clienti e una potenziale perdita di attività future. Gli attacchi di alto profilo spesso attraggono l'attenzione dei media, il che può danneggiare la reputazione e l'immagine del marchio di un'azienda.

Problemi operativi
Anche con i backup, esiste il rischio di perdita o danneggiamento dei dati, che può influire sulla continuità aziendale e sull'efficienza operativa. Le aziende potrebbero anche subire penali legali e normative per il mancato rispetto della protezione dei dati sensibili, soprattutto se sono soggette a normative sulla protezione dei dati come le Regolamento generale sulla protezione dei dati nell'Unione Europea o il California Consumer Privacy Act.

Esempi di ransomware reali

Molti degli attacchi ransomware gestiti dall'uomo più di alto profilo sono condotti da gruppi ransomware, che operano usando un modello di business ransomware come servizio.

 
  • Dopo la sua comparsa nel 2019, LockBit ha preso di mira diversi settori, tra cui servizi finanziari, assistenza sanitaria e produzione. Questo ransomware è noto per la sua capacità di auto-propagarsi all'interno delle reti, rendendolo particolarmente pericoloso. Le consociate di LockBit sono state responsabili di numerosi attacchi di alto profilo, usando tecniche sofisticate per crittografare i dati e richiedere riscatti. 
  • Gli attacchi di BlackBytecomportano spesso una doppia estorsione, in cui i criminali informatici crittografano ed esfiltrano i dati, minacciando di pubblicare i dati rubati se il riscatto non viene pagato. Questo ransomware è stato usato per indirizzare i settori critici dell'infrastruttura, inclusi i servizi pubblici e finanziari.
  • Il gruppo dietro il ransomware Hive attivo tra giugno 2021 e gennaio 2023, utilizzava una doppia estorsione e in generale ha colpito principalmente gli istituti pubblici e infrastrutture critiche, incluse le strutture sanitarie. Nel 2022, l'FBI si è infiltrata nella rete Hive, acquisendo le chiavi di decrittografia e impedendo oltre 130 milioni di USD di richieste di riscatto. 
  • Il ransomware Akira è un malware sofisticato attivo dall'inizio del 2023 e destinato a sistemi Windows e Linux. Gli utenti malintenzionati usano Akira per ottenere l'accesso iniziale tramite vulnerabilità nei servizi VPN, in particolare quelli senza autenticazione a più fattori. Dopo la sua comparsa, Akira ha avuto un impatto su più di 250 organizzazioni e ha richiesto circa 42 milioni di USD in proventi ransomware.
 
Prevenzione

Strategie di prevenzione e protezione da ransomware

Proteggere endpoint e cloud

La migliore forma di protezione è la prevenzione. Molti attacchi ransomware possono essere identificati e bloccati con una soluzione attendibile di rilevamento e risposta degli endpoint, ad esempio Microsoft Defender per endpoint. Le soluzioni XDR (Extended Detection and Response), come Microsoft Defender XDR, vanno oltre la protezione degli endpoint per proteggere i dispositivi, la posta elettronica, le app di collaborazione e le identità. E con così tante attività svolte nel cloud, è importante proteggere tutta l'infrastruttura e le app cloud con una soluzione come Microsoft Defender per il cloud.

Organizza regolarmente corsi di formazione

Tieni i dipendenti aggiornati su come riconoscere i segnali di phishing e altri attacchi ransomware con corsi di formazione regolari. Per rafforzare le conoscenze e identificare le opportunità di formazione aggiuntiva, seguire periodicamente simulazioni di phishing. Ciò consentirà ai dipendenti di apprendere procedure più sicure per il lavoro e anche come essere più sicuri quando usano i dispositivi personali.

Adotta un modello Zero Trust

Un modello di Zero Trust presuppone che ogni richiesta di accesso, anche quelle provenienti dall'interno della rete, sia una potenziale minaccia. I principi Zero Trust includono la verifica esplicita tramite l'autenticazione continua, l'applicazione dell'accesso con privilegi minimi per ridurre al minimo le autorizzazioni e l'assunzione di una violazione mediante l'implementazione di misure di contenimento e monitoraggio avanzate. Questo controllo aggiuntivo riduce la probabilità che un'identità o un dispositivo dannoso accresca le risorse e installi ransomware.

 Entra a far parte di un gruppo di condivisione delle informazioni

I gruppi di condivisione delle informazioni, spesso organizzati per settore o posizione geografica, incoraggiano le organizzazioni con strutture simili a collaborare per trovare soluzioni di cybersecurity. Questi gruppi offrono alle organizzazioni anche diversi vantaggi, come servizi di analisi digitale e risposta agli incidenti, intelligence sulle minacce e monitoraggio di domini e intervalli IP pubblici.

Mantieni backup offline

Alcuni ransomware cercheranno di trovare ed eliminare eventuali backup online che hai, quindi è una buona idea mantenere un backup offline aggiornato dei dati sensibili che testi regolarmente per verificare che sia recuperabile in caso di attacchi ransomware.

Tieni i software aggiornati

Oltre a mantenere aggiornate le soluzioni antimalware, assicurati di scaricare e installare qualsiasi altro aggiornamento di sistema e patch di software non appena diventano disponibili. Questo potrebbe aiutarti a ridurre al minimo le vulnerabilità della sicurezza che un criminale informatico potrebbe sfruttare per ottenere l'accesso alla tua rete o ai tuoi dispositivi.

Crea un piano di risposta agli incidenti

Un piano di risposta agli eventi imprevisti fornirà i passaggi da eseguire in diversi scenari di attacco in modo da poter tornare a funzionare normalmente e in modo sicuro il prima possibile.

Risposta a un attacco ransomware

Se sei vittima di un attacco ransomware, esistono diverse opzioni per risolverlo e rimuoverlo.

Isola i dati infetti
Non appena possibile, isola i dati compromessi per evitare che il ransomware si diffonda ad altre aree della rete.

Esegui un programma antimalware
Dopo aver isolato tutti i sistemi infetti, usa un programma antimalware per rimuovere il ransomware.

Decrittografare i file o ripristinare i backup
Se possibile, usa gli strumenti di decrittografia forniti dalle forze dell'ordine o dai ricercatori della sicurezza per decrittografare i file senza pagare il riscatto. Se la decrittografia non è possibile, ripristina i file dai backup.

Segnala l'attacco
Contatta le forze dell'ordine locali o federali per segnalare l'attacco. Nel Stati Uniti, si tratta dell'ufficio sul campo locale dell'FBI, dell'IC3 o dei Servizi segreti. Sebbene questo passaggio probabilmente non porrà fine alle tue preoccupazioni più pressanti, è importante perché tali autorità tracciano e monitorano attivamente diversi attacchi. Fornire loro informazioni dettagliate sulla tua esperienza può essere utile per trovare e compromettere un criminale informatico o un gruppo di loro.

Rifletti bene prima di pagare il riscatto
Anche se pagare il riscatto potrebbe sembrare la soluzione ideale, non vi è alcuna garanzia che i criminali informatici manterranno la parola data e ti concederanno l'accesso ai tuoi dati. Gli esperti di sicurezza e le forze dell'ordine raccomandano alle vittime di attacchi ransomware di non pagare i riscatti richiesti, perché ciò potrebbe lasciarle vulnerabili a minacce future e sosterrebbe attivamente un meccanismo criminale.
RISORSE 

Scopri di più su Microsoft Security

Proteggi la tua organizzazione da ransomware complessi con soluzioni unificate di protezione dalle minacce basate su intelligenza artificiale e procedure consigliate collaudate.
Donna con una maglietta verde che guarda un computer.
Soluzione

Proteggiti dai ransomware

Esponi e rispondi ad attacchi informatici sofisticati nel tuo ambiente multi-cloud e multi-piattaforma.
Scopri di più
Uomo seduto a una scrivania con un portatile.
Soluzione

Supera le minacce con SecOps unificato basato su intelligenza artificiale

Ottieni le informazioni di sicurezza e XDR e la gestione degli eventi, tutto in un'unica piattaforma.
Scopri di più
Un portatile su un tavolo.
Prodotto

Proteggi l'intera azienda con Microsoft Defender XDR

Proteggi gli endpoint, le identità, le app cloud e i dati dagli attacchi informatici.
Scopri di più
Uomo con gli occhiali e la barba che tiene dei fogli davanti a un portatile.
Prodotto

Proteggi le piccole imprese con Microsoft Defender for Business

Proteggiti dagli attacchi ransomware sofisticati su tutti i dispositivi con l’antivirus di nuova generazione e un sistema di rilevamento e reazione dagli endpoint di livello aziendale basato su intelligenza artificiale.
Scopri di più
Una donna e un uomo che guardano un portatile.
Portale di protezione dalle minacce

Notizie sulla cybersecurity e sull’IA

Scopri le ultime tendenze e le procedure consigliate in materia di protezione dalle minacce informatiche e di IA per la sicurezza.
Ottieni le ultime risorse
Torna alla sezione Risorse

Domande frequenti

  • Il ransomware è un tipo di malware che crittografa dati preziosi e richiede un pagamento di riscatto in cambio della decrittografia.
  • Purtroppo, quasi chiunque abbia una presenza online può essere vittima di un attacco ransomware. I dispositivi personali e le reti aziendali sono entrambi obiettivi frequenti dei criminali informatici.
  • Gli attacchi ransomware tradizionali si verificano quando un individuo viene indotto con l'inganno a interagire con contenuti dannosi, ad esempio aprendo un'e-mail infetta o visitando un sito Web dannoso, che installa ransomware sul suo dispositivo.
    In un attacco ransomware con intervento umano, un gruppo di utenti malintenzionati prende di mira e viola i dati sensibili di un'organizzazione, di solito attraverso il furto di credenziali.
    In genere, sia per il ransomware di ingegneria sociale sia per quello con intervento umano, a una vittima o a un'organizzazione verrà presentata una richiesta di riscatto che descrive in dettaglio i dati che sono stati rubati e il costo della restituzione. Il pagamento del riscatto, tuttavia, non garantisce che i dati vengano effettivamente restituiti o che vengano evitate future violazioni.
  • Gli effetti di un attacco ransomware possono essere devastanti. Che sia diretto a un individuo o a un'organizzazione, le vittime potrebbero sentirsi costrette a pagare riscatti elevati senza alcuna garanzia che i dati verranno loro restituiti o che non si verificheranno ulteriori attacchi. Se un criminale informatico fa trapelare le informazioni sensibili di un'organizzazione, la sua reputazione potrebbe essere danneggiata e considerata inaffidabile. Inoltre, a seconda del tipo di informazioni trapelate e delle dimensioni dell'organizzazione, migliaia di persone potrebbero essere a rischio di diventare vittime di furto di identità o altri crimini informatici.
  • I criminali informatici che infettano i dispositivi delle vittime con il ransomware vogliono denaro. Questi tendono a chiedere riscatti in criptovalute vista la loro natura anonima e non rintracciabile. Quando un individuo viene preso di mira, il riscatto potrebbe essere di centinaia o migliaia di dollari americani. Le campagne ransomware gestite dall'uomo richiedono spesso milioni di dollari.
  • Le vittime dovrebbero segnalare gli attacchi ransomware alle forze dell'ordine locali o federali. Nel Stati Uniti, si tratta dell'ufficio sul campo locale dell'FBI, dell'IC3 o dei Servizi segreti. Gli esperti di sicurezza e le forze dell'ordine raccomandano alle vittime di non pagare i riscatti. Se hai già pagato, contatta immediatamente la tua banca e le autorità locali. La banca potrebbe essere in grado di bloccare il pagamento se hai utilizzato la carta di credito.

Segui Microsoft Security