Sophos: aumentate del 500% le cifre versate per i riscatti del ransomware

Sophos, società globale specializzata nelle soluzioni di sicurezza innovative per neutralizzare i cyberattacchi, ha pubblicato la nuova edizione del proprio report annuale “The State of Ransomware 2024” dal quale si evince come la media dei riscatti versati dalle vittime di questi attacchi sia aumentata del 500% nel corso dell’ultimo anno.

Le cifre estorte, infatti, ammontano mediamente a 2 milioni di dollari per organizzazione contro i 400.000 dollari del 2023. Il riscatto tuttavia è solo una parte del costo complessivo: a parte questa voce, infatti, lo studio condotto da Sophos ha calcolato come il costo medio di ripristino sia stato pari a 2,73 milioni di dollari, con un aumento di quasi 1 milione rispetto alla somma di 1,82 milioni di dollari riportata nel 2023.

Nonostante i riscatti più ingenti, il report ha indicato una lieve riduzione nel numero degli attacchi ransomware: le aziende colpite quest’anno sono state il 59% contro il 66% del 2023. Anche se la probabilità di essere attaccati aumenta proporzionalmente al fatturato, sottolinea Sophos, anche le realtà più piccole (quelle con un giro d’affari inferiore a 10 milioni di dollari) vengono regolarmente prese di mira tanto che nell’anno trascorso è stata colpita dal ransomware poco meno della metà di esse (47%).

Dal report 2024 si evince che il 63% delle richieste di riscatto e stato superiore al milione di dollari mentre il 30% è stato inferiore ai cinque milioni, a indicare la ricerca di forti guadagni da parte dei cybercriminali. Sfortunatamente queste cifre così alte non riguardano solamente le aziende dai fatturati più consistenti: nello scorso anno, infatti, ha ricevuto richieste di riscatti a sette cifre quasi metà (46%) delle organizzazioni con un fatturato inferiore a 50 milioni di dollari.

“La lieve flessione nel volume di attacchi non deve darci un falso senso di compiacimento. Il ransomware continua a essere la minaccia dominante su cui poggia l’economia del cybercrimine. Senza il ransomware non osserveremmo la varietà e la quantità di minacce e servizi che fanno da precursori a questi attacchi. I costi crescenti del ransomware nascondono il fatto che si tratta di un crimine alla portata di chiunque. Lo scenario offre infatti un ruolo attivo a qualsiasi cybercriminale, indipendentemente dalle sue capacità. Anche se alcuni gruppi si concentrano su riscatti multimilionari, altri si accontentano di cifre inferiori compensandole però con volumi più alti”, ha dichiarato John Shier, field CTO di Sophos.

Per il secondo anno consecutivo la causa primaria degli attacchi più comunemente identificata è stata l’exploit delle vulnerabilità, che ha riguardato il 32% delle aziende, seguita a ruota dalle credenziali compromesse (29%) e dai messaggi email pericolosi (23%). Questi dati sono in linea con quelli rilevati sul campo dalle recenti attività di incident response e presentati nell’ultimo report Active Adversary di Sophos.

Dove gli attacchi sono iniziati sfruttando le vulnerabilità si è registrato l’impatto più forte sulle organizzazioni colpite, con una percentuale maggiore di backup compromessi (75%), dati crittografati (67%) e propensione a versare il riscatto (71%) rispetto ai casi in cui gli attacchi sono partiti da credenziali compromesse. Le aziende interpellate hanno subìto anche un impatto finanziario e operativo superiore, con un costo medio di ripristino pari a 3,58 milioni di dollari contro i 2,58 degli attacchi basati sulle credenziali compromesse, oltre a una maggior percentuale di vittime che hanno avuto bisogno di più di un mese per ritornare alla normalità.

Ecco altri interessanti dati emersi dal report di Sophos:

• Meno di un quarto (24%) delle aziende che hanno versato un riscatto ha pagato la somma originariamente richiesta, mentre il 44% ha affermato di aver pagato meno di quanto richiesto inizialmente.
• I riscatti pagati sono stati mediamente pari al 94% della cifra richiesta all’inizio.
• In più di quattro quinti dei casi (82%) i fondi utilizzati per pagare il riscatto sono stati recuperati da più fonti. Nel complesso, il 40% dei fondi è stato fornito dalle aziende stesse e il 23% dalle compagnie assicurative.
• Il 94% delle aziende colpite da ransomware nello scorso anno ha affermato che i cybercriminali hanno cercato di compromettere i backup nel corso degli attacchi; tale proporzione sale al 99% nel caso degli enti pubblici. Nel 57% dei casi, i tentativi di colpire i backup hanno avuto successo.
• Nel 32% degli incidenti che hanno provocato la cifratura dei dati, questi ultimi sono stati anche sottratti – un lieve aumento rispetto al 30% dell’anno precedente – aumentando la capacità degli autori dei cyber attacchi di estorcere denaro alle loro vittime.

“Gestire il rischio è alla base di quello che facciamo per difenderci. Nonostante le due principali cause primarie degli attacchi ransomware, ovvero l’exploit delle vulnerabilità e le credenziali compromesse, possano essere prevenute, troppe aziende ne soffrono ancora. Occorre quindi valutare i livelli di esposizione a queste cause primarie e risolverle immediatamente. In un ambiente difensivo in cui le risorse sono scarse è ora che venga previsto un costo anche per i cybercriminali. Le aziende possono puntare a massimizzare i loro investimenti difensivi solamente alzando l’asticella sulle risorse occorrenti per violare una rete”, ha concluso Shier.

Per difendersi dal ransomware e dai cyberattacchi ad esso correlati, Sophos consiglia di adottare alcuni accorgimenti:

• Comprendere il proprio profilo di rischio con tool come Sophos Managed Risk, capace di valutare la superficie di attacco esterna di un’organizzazione, prioritizzare gli elementi più rischiosi e fornire indicazioni su misura per la loro neutralizzazione.
• Implementare una protezione endpoint progettata per bloccare una gamma di tecniche ransomware tradizionali e innovative, come Sophos Intercept X.
• Rafforzare le difese con una capacità costante di rilevamento, analisi e risposta alle minacce mediante un team interno o con il supporto di un provider MDR (Managed Detection and Response).
• Definire e mantenere un piano di risposta agli incidenti, effettuare backup regolari ed effettuare prove pratiche di ripristino dei dati dai backup.

I dati usati per il report The State of Ransomware 2024 – spiega Sophos – sono tratti da un sondaggio indipendente dai vendor che ha coinvolto 5.000 responsabili IT e della cybersicurezza tra gennaio e febbraio 2024 in 14 Paesi di Americhe, EMEA e Asia-Pacifico. Le organizzazioni interpellate avevano tra i 100 e i 5.000 dipendenti con un fatturato compreso tra meno di 10 milioni e oltre 5 miliardi di dollari.

Nel report The State of Ransomware 2024 possono essere consultati tutti i dati globali e quelli suddivisi per settore di attività.