Al contrario di quanto comunicato inizialmente dall’assessore alla Sanità, e nello stupore della popolazione sorpresa dal miracolo, dopo una settimana salta fuori il backup che era solo stato cancellato e non criptato, quindi è stato recuperato e non è più necessario pagare il riscatto.
L’incredibilità del ritrovamento del backup che si materializza dopo 6 giorni dall incursione degli hackers fa pensare molto al pagamento di quasi 5 milioni di dollari in bitcoins (speriamo non sia così). Anche perché il rischio di pagare e non avere l’ “antidoto” è molto alto.
Un bel colpo di fortuna, dicono gli esperti, ci sono casi in cui i criminali non riescono a criptare i backup e quindi si limitano a cancellarli. Bisogna solo vedere quanti e quali problemi ci saranno in seguito, perchè di solito qualche file si perde comunque.
Il backup era su un virtual tape library (che simula storage su nastro magnetico) un sistema acquistato della regione nel 2019.
Resta che le misure minime per la sicurezza prescrivono anche un backup offline. In modo che non siano accessibili dal sistema onde evitare che attacchi come questo possano coinvolgere tutte le copie di sicurezza.
Lacunose quindi le misure di sicurezza della Regione, dato che non hanno impedito di passare dall'account del dirigente a quello di admin, tutti privi di autenticazione a due fattori.
Possibili cause dell’attacco
La Regione ha confermato che l’attacco è partito da un computer di un dipendente in smart working (senza però dare altri dettagli)
Il dipendente - di Frosinone, 61enne - pare sia stato contagiato da un malware (forse per aver cliccato sul link di una mail di phishing) anche se lui ha dichiarato di stare molto attento alle mail di questo tipo. Aziende e organizzazioni di tutto il mondo sono state vittima di ransomware, basta “un colpo di google”. Non è così sorprendente che una grande regione (o ospedale, o ministero) ne sia vittima.
In conclusione
Di eccezionale in questo attacco, vale la pena ripeterlo, non c’è nulla. Anzi, era ben possibile aspettarselo. Secondo il Rapporto Clusit il settore pubblico è tra gli obiettivi più colpiti da cybercrime nel 2020. La stragrande maggioranza degli attacchi sono proprio malware come il Ransomware che ha colpito la Regione Lazio, con un trend in evidente crescita: “si conferma anche nel 2020 una tendenza inequivocabile e molto pericolosa: gli attaccanti possono fare affidamento sull’efficacia del Malware “semplice”, prodotto industrialmente a costi decrescenti in infinite varianti, su Vulnerabilità note e su tecniche di Phishing/Social Engineering relativamente semplici, per conseguire la gran maggioranza dei loro obiettivi”. (Rapporto Clusit 2021).
La regione afferma anche che i dati rubati non sono stati pubblicati nel dark web, ma sembra un'affermazione un pò azzardata da dire, perchè invece di essere stati pubblicati potrebbero essere già stati venduti in esclusiva, ad un singolo compratore, e quindi, non disponibili nei canali tradizionali utilizzati in questi casi. Tuttavia affermare con sicurezza “nulla è stato pubblicato” è già un azzardo sul web, figuriamoci nel Dark Web.
È vero, un attacco ransomware può essere disastroso, ma solo se la vittima non è in grado di adottare adeguate misure di mitigazione. La gravità delle conseguenze di un attacco di questo tipo dipende esclusivamente dalle capacità di risposta della vittima.
Confidiamo che ora la Regione, anzi tutta l’Italia, abbia fatto tesoro di questo evento e sia più preparata. Ma bisogna correre.
Sicurezza
