Ransomware as a Service (RaaS): Cos’è, come funziona e come difendersi dalla minaccia digitale più temuta

Il mondo del cybercrime evolve rapidamente, e il Ransomware as a Service (RaaS) rappresenta una delle tendenze più pericolose degli ultimi anni. Questa nuova modalità di affiliazione criminale ha reso i ransomware accessibili anche a criminali informatici con scarse competenze tecniche, arrivando a costituire purtroppo una vera e propria industria. Vediamo in dettaglio cos’è, come opera e come possiamo difenderci.

Cos'è il Ransomware?

Il termine "ransomware" deriva dall'unione di due parole inglesi: "ransom" (riscatto) e "software". Si tratta di un tipo di malware che, una volta infiltrato in un dispositivo o sistema informatico, cifra i dati della vittima rendendoli inutilizzabili. Gli aggressori richiedono quindi un riscatto, solitamente in criptovalute come Bitcoin, per fornire la chiave di decrittazione necessaria a recuperare l'accesso ai dati bloccati. Se il riscatto non viene pagato, i dati vengono persi per sempre, o peggio, possono essere pubblicati sul dark web, condannando la vittima, che spesso è una grande azienda o un ente pubblico, a patire un danno reputazionale notevole, e molto spesso anche al pagamento di sanzioni da parte degli organi che vigilano sul rispetto nella normativa sulla protezione dei dati personali, come il GDPR.

Il ransomware sfrutta algoritmi avanzati di cifratura per impedire agli utenti di accedere ai loro file personali, documenti aziendali, database e sistemi critici. Il meccanismo di attacco si articola tipicamente in più fasi:

• Infezione: il malware viene introdotto nel sistema tramite tecniche come phishing, allegati malevoli, exploit kits o accessi tramite desktop remoto non protetti.
• Esecuzione e diffusione: una volta eseguito, il ransomware cerca file specifici o intere unità di archiviazione, cifrandone rapidamente il contenuto. In alcuni casi, i dati vengono anche esfiltrati e inviati ai criminali, per aumentare la portata del ricatto (vedi sotto)
• Richiesta di riscatto: al termine della cifratura, compare una nota di riscatto contenente istruzioni dettagliate per il pagamento.
• Pagamento e recupero (non garantiti): se la vittima paga, gli aggressori (non sempre affidabili) forniscono, in teoria, la chiave di decrittazione per ripristinare i dati. Trattandosi di gruppi criminali, tuttavia, ovviamente non può esserci alcuna garanzia e il mancato "sblocco" è una circostanza che non si potrà certo opporre a nessuno.
• Mancato pagamento: perdita dei dati e pubblicazione sul web se la non vittima paga i dati non verranno "sbloccati". Inoltre, se i criminali sono riusciti a esfiltrare ("rubare") dati sensibili (ad esempio, credenziali, o dati personali di clienti o cittadini),  questi potrebbero essere pubblicati illecitamente, spesso sul dark web, esponendo la vittima sia a un danno di reputazione che, eventualmente, a sanzioni, in quanto spesso alla pubblicazione segue un'indagine per appurare se l'azienda possa aver violato le norma che regolano la protezione dei dati personali, come il GDPR. In questo caso le multe possono essere salatissime, anche nell'ordine di milioni di euro.

Questa modalità criminale ha avuto un forte impatto economico e sociale, colpendo individui, aziende, enti pubblici e infrastrutture critiche a livello mondiale.

Cos’è il Ransomware as a Service (RaaS)?

Il Ransomware as a Service è un modello di business criminale in cui sviluppatori esperti creano e distribuiscono ransomware, affittandoli o vendendoli ad affiliati. Questi ultimi non devono possedere particolari capacità tecniche: pagano una quota, solitamente una percentuale del riscatto incassato, e ricevono l’accesso a strumenti pronti all’uso per sferrare attacchi. I proventi del riscatto, un volta incassati, vengono distribuiti tra gli affiliati come se fossimo davanti a un'organizzazione commerciale vera e propria. Anzi, i principali gruppi criminali negli ultimi anni hanno investito tempo e risorse per dotarsi di un'immagine "professionale" per presentarsi ai propri affiliati - spesso con tanto di immagine coordinata, sito web e forum di discussione: ovviamente tutto disponibile esclusivamente sul dark web.

Il RaaS ha così abbassato drasticamente la soglia d’ingresso nel cybercrime, moltiplicando attacchi e danni economici.

Perché è così pericoloso?

La pericolosità del RaaS deriva dalla sua accessibilità e diffusione. Chiunque può potenzialmente diventare un attore criminale, aumentando esponenzialmente il numero di attacchi globali. Inoltre, l’organizzazione a rete degli affiliati rende difficile individuare e arrestare i responsabili, generando un’impunità diffusa.

Come funzionano le organizzazioni criminali con affiliazione

Le organizzazioni criminali che utilizzano il modello RaaS operano come vere e proprie aziende strutturate, con divisioni di ruoli e specializzazioni. Abbiamo:
• Sviluppatori: creano e mantengono il ransomware.
• Affiliati: eseguono materialmente gli attacchi.
• Amministratori: gestiscono i pagamenti e le comunicazioni con le vittime.
• Intermediari finanziari: si occupano del riciclaggio dei riscatti tramite criptovalute.

Le piattaforme di RaaS, come Hive e BitLocker, offrono pannelli di controllo intuitivi, statistiche dettagliate sugli attacchi, tutorial, assistenza e persino strategie di negoziazione per ottenere il massimo riscatto possibile.

Alcuni casi famosi: Hive, BitLocker e Conti
• Hive Ransomware: noto per la sua aggressività e capacità di colpire strutture sanitarie e istituzioni pubbliche, Hive operava attraverso una rete di affiliati molto estesa prima di essere smantellato dalle autorità nel 2023.
• BitLocker: sfruttando tecniche avanzate di criptazione, ha colpito numerose aziende europee, causando perdite economiche rilevanti e sollevando l’attenzione internazionale sul pericolo del RaaS.
• Conti Ransomware: ha rappresentato uno degli esempi più pericolosi e organizzati di RaaS, con attacchi che hanno paralizzato sistemi sanitari e amministrativi a livello globale.

Il ruolo degli insider: il pericolo del personale infedele

Gli insider, ossia dipendenti o collaboratori infedeli, costituiscono una delle minacce più gravi per le aziende. Attraverso un dipendente malintenzionato, i criminali possono ottenere facilmente accesso a reti interne, sistemi critici e dati sensibili, facilitando enormemente la diffusione di ransomware.

Gli insider possono agire per denaro, vendetta o semplice negligenza, spesso sottovalutata ma altrettanto pericolosa.

I software di desktop remoto: un rischio significativo

Le applicazioni per il desktop remoto, se configurate male o insufficientemente protette, diventano vere e proprie porte spalancate per gli attaccanti. Software come RDP (Remote Desktop Protocol), TeamViewer e AnyDesk sono frequentemente sfruttati dagli hacker per penetrare nelle reti aziendali.

È essenziale, quindi, proteggere tali strumenti con autenticazioni multifattoriali, policy rigorose e monitoraggio costante.

Creazione e distribuzione di ransomware

I ransomware vengono generalmente creati da sviluppatori esperti utilizzando tecniche avanzate di crittografia e offuscamento. Una volta creato, il ransomware viene distribuito tramite:
• Phishing: invio di email ingannevoli che inducono l’utente ad aprire allegati malevoli o cliccare su link infetti.
• Exploit Kit: strumenti automatizzati che sfruttano vulnerabilità note in software non aggiornati.
• Attacchi RDP: sfruttano configurazioni insicure di desktop remoto per accedere ai sistemi.

Una volta installato, il ransomware cripta i dati, chiedendo un riscatto spesso pagato in criptovaluta.

Tecniche per mitigare il rischio da Ransomware

Per proteggersi dal ransomware, le organizzazioni devono implementare diverse strategie preventive:
• Formazione del personale: educare dipendenti e collaboratori a riconoscere phishing e comportamenti sospetti.
• Aggiornamenti regolari: installare tempestivamente aggiornamenti di sicurezza e patch.
• Autenticazione multifattoriale (MFA): implementare MFA ovunque possibile per ridurre rischi di accessi non autorizzati.
• Monitoraggio e log management: sorvegliare continuamente i sistemi per rilevare anomalie precocemente.

L’importanza strategica dei backup

I backup rappresentano la più efficace arma contro il ransomware. Una strategia di backup efficace prevede:
• Backup offline: copie di sicurezza isolate dalla rete principale.
• Backup cifrati e periodici: frequenti e verificati per garantire l’integrità e il recupero dei dati.

Attivare l’ACN e coinvolgere le autorità

Nello sfortunato caso in cui sia vittima di attacco Ransomware, è fondamentale attivare immediatamente l’Agenzia per la Cybersicurezza Nazionale (ACN). Segnalare prontamente l’incidente permette di limitare i danni, coordinare la risposta e condividere informazioni utili per contrastare ulteriori attacchi. L'ACN possiede competenze specializzate per far fronte a questo tipo di situazioni e supportare le aziende al meglio.

Conclusione

Il Ransomware as a Service ha trasformato il panorama del cybercrime, rendendo più accessibili e frequenti attacchi informatici di portata globale. La prevenzione passa attraverso formazione per il personale, aggiornamenti frequenti e strategie di backup efficaci. Nello sfortunato evento di un attacco ransomware, invece,  una risposta tempestiva in collaborazione con le autorità è la migliore arma per limitare i danni e riprendere l'operatività.