Un nuovo studio di Sophos intitolato “The State of Ransomware in Critical Infrastructure 2024” rivela che i costi mediani per il ripristino operativo di due settori infrastrutturali critici come quelli dell’energia e delle strutture idriche sono quadruplicati nell’ultimo anno fino a toccare il totale di 3 milioni di dollari: una cifra quattro volte superiore rispetto alla mediana globale di tutti i settori.
Da notare inoltre come il 49% degli attacchi ransomware subiti da questi due settori sia stato originato dall’exploit di una vulnerabilità.
I dati utilizzati per il report derivano dalle risposte fornite da 275 intervistati appartenenti ad aziende dei settori energetico, petrolifero/estrattivo e utility, ovvero i comparti appartenenti alla categoria “Energy and Water” nell’elenco delle 16 infrastrutture critiche stilato dall’agenzia statunitense per la cybersicurezza (CISA). I risultati di questo report verticale rientrano in un più vasto studio indipendente dai vendor condotto su 5.000 responsabili IT e della cybersicurezza tra gennaio e febbraio 2024 in 15 settori industriali di 14 Paesi.
“I criminali colpiscono dove possono provocare i danni peggiori affinché l’utenza invochi interventi risolutivi rapidi facendo sperabilmente pressione affinché venga pagato il riscatto richiesto per poter ripristinare i servizi in tempi più brevi. Ciò trasforma le utility in un bersaglio perfetto per gli attacchi ransomware: per via delle funzioni essenziali che esse forniscono, la società moderna impone che tornino operative velocemente e con il minimo disservizio”, ha dichiarato Chester Wisniewski, global Field CTO.
“Le utility pubbliche come per esempio quelle idriche, non sono purtroppo solamente obiettivi attraenti ma anche vulnerabili sotto molteplici fronti, compresi i requisiti di sicurezza e alta disponibilità, oltre ad essere impostate con un approccio ingegneristico concentrato sulla sicurezza fisica anziché su quella digitale. Esiste infatti una preponderanza di vecchie tecnologie configurate per essere gestite da remoto senza quei controlli di sicurezza moderni come crittografia e autenticazione multifattore. Come per gli ospedali e le scuole, queste utility lavorano spesso con personale ridotto all’osso e senza le risorse IT necessarie per restare aggiornate in quanto a patch, vulnerabilità di sicurezza e monitoraggio per il rilevamento e la risposta precoci”.
Oltre ai crescenti costi di recovery, nel 2024 l’importo mediano dei riscatti versati dalle aziende di questi due settori è balzato a oltre 2,5 milioni di dollari, mezzo milione in più rispetto alla mediana complessiva di tutti i settori. Gli operatori idrici ed energetici si sono piazzati anche al secondo posto per numero di attacchi ransomware subiti: nel complesso, ha dichiarato di essere stato colpito da qualche forma di ransomware il 67% di essi contro una media globale del 59%.
Ecco altri dati chiave emersi dal report
- I settori delle infrastrutture idriche ed energetiche hanno fatto segnare i tempi di ripristino più lunghi. Nel 2024 solo il 20% delle aziende colpite da ransomware è riuscito a tornare operativo entro una settimana al massimo, contro il 41% del 2023 e il 50% del 2022. Il 55% ha impiegato più di un mese, contro il 36% dell’anno prima. Per confronto, considerando tutti i settori economici, solo il 35% delle aziende colpite ha avuto bisogno di più di un mese per tornare alla normalità.
- Questi due comparti infrastrutturali critici hanno registrato anche la più alta percentuale di violazione dei backup (79%) e la terza percentuale di successo nella cifratura del dati (80%) rispetto a tutti i settori analizzati.
“Tutto questo dimostra ancora una volta come cedere alle richieste dei cybercriminali vada quasi sempre contro i nostri interessi. Un crescente numero di aziende (61%) ha versato il riscatto, eppure i tempi di ripristino si sono allungati. Non solo queste proporzioni e i guadagni elevati incoraggiano ulteriori attacchi contro il settore, ma oltretutto non raggiungono il preteso obiettivo di abbreviare il ritorno alla normalità”, ha proseguito Wisniewski.
“Gli operatori di questi settori devono rendersi conto di essere un bersaglio, così da intraprendere azioni proattive per monitorare la loro esposizione all’accesso remoto e la presenza di vulnerabilità nei dispositivi di rete assicurando di disporre di capacità di monitoraggio e risposta 24/7 per minimizzare i fermi operativi e ridurre i tempi di ripristino. Bisognerebbe pianificare in anticipo adeguati piani di risposta agli incidenti così come si fa per gli incendi, le inondazioni, gli uragani e i terremoti, completi di esercitazioni periodiche”.
Maria Chiara Di Carlo
