Le aziende che cedono alle richieste di riscatto sperando di ripristinare i propri sistemi in silenzio stanno inconsapevolmente innescando un "effetto Streisand", rendendo significativamente più probabile che finiscano sui giornali rispetto a chi si rifiuta di pagare.
L'Illusione del Silenzio
Una nuova ricerca condotta dall'esperto di ransomware Max Smeets, autore di Ransom War, sfida il diffuso mito secondo cui pagare il riscatto compri il silenzio. Analizzando i dati sequestrati dalla National Crime Agency (NCA) durante lo smantellamento di LockBit (Operazione Chronos), Smeets ha confrontato la copertura mediatica di 100 aziende che hanno pagato con quella di 100 che non lo hanno fatto.
"Si scopre che è più probabile che venga scritto un articolo su di te se hai pagato rispetto a se non hai pagato."
Questa scoperta controintuitiva suggerisce che l'atto stesso di pagare per evitare la pubblicità la amplifichi. Smeets paragona questo fenomeno all'effetto Streisand: quando il tentativo di nascondere, rimuovere o censurare un'informazione ha la conseguenza non intenzionale di pubblicizzarla ancora di più.
La Fiducia Tradita dai Criminali
La ricerca getta luce anche sulla completa erosione dell'"onore tra ladri". I gruppi ransomware come LockBit si basano su una facciata di affidabilità per convincere le vittime a pagare. Promettono di decifrare i file e cancellare i dati rubati. Tuttavia, i dati interni dell'Operazione Chronos rivelano una realtà diversa:
- False Promesse: LockBit spesso non ha mantenuto le promesse, come quella di bandire gli affiliati che attaccavano obiettivi proibiti come gli ospedali pediatrici.
- Conservazione dei Dati: Anche dopo il pagamento, non vi era alcuna garanzia che i dati rubati venissero effettivamente cancellati dai server dei criminali.
- Crollo della Reputazione: Dopo l'intervento delle forze dell'ordine e l'esposizione delle loro bugie, la capacità di LockBit di ottenere pagamenti è crollata.
L'Arte del Cattivo Affare
L'analisi di Smeets ha anche evidenziato quanto molte vittime siano impreparate durante i negoziati. Alcune aziende hanno ammesso subito di non avere backup, segnalando disperazione. Altre hanno inviato documenti assicurativi, rivelando inavvertitamente esattamente quanto potevano permettersi di pagare.
La lezione per le aziende è dura ma chiara: pagare un riscatto non garantisce il recupero dei dati, né previene l'esposizione pubblica. Di fatto, supporta l'ecosistema criminale e potrebbe invitare proprio quei titoli di giornale che si sta cercando di evitare.
Cosa Dovrebbero Fare le Aziende?
Invece di affidarsi alla dubbia parola dei criminali informatici, le organizzazioni devono concentrarsi sulla resilienza:
- Backup Solidi: Mantenere backup offline e immutabili per garantire il ripristino senza pagamento.
- Non Negoziare dalla Disperazione: Se attaccati, non rivelare mai la propria disperazione o i limiti finanziari agli attaccanti.
- Rifiutarsi di Pagare: I dati suggeriscono che rifiutarsi di pagare è la strategia più efficace per minimizzare i danni reputazionali a lungo termine.