Gli operatori ransomware prendono sempre più di mira i manager influenti, riferisce Zscaler

Secondo una ricerca del team ThreatLabz di Zscaler, i gruppi ransomware scelgono sempre più spesso le vittime in base alla loro influenza sulle decisioni aziendali, invece di prendere di mira esclusivamente i dirigenti senior o gli amministratori di sistema.

I ricercatori hanno esaminato 351 vittime presso 334 organizzazioni coinvolte in una campagna ransomware nell’arco di un singolo mese. Quasi due terzi delle vittime ricoprivano posizioni manageriali o superiori, mentre l’età media era di 46 anni. Circa il 75% lavorava nei settori della contabilità e della finanza, delle vendite, delle operations, delle risorse umane o del marketing. Le organizzazioni industriali e quelle operanti nel settore dell’information technology rappresentavano complessivamente circa la metà dei datori di lavoro colpiti.

Zscaler ha dichiarato che gli aggressori sembrano combinare le informazioni raccolte dalle reti compromesse con materiale disponibile pubblicamente per comprendere le strutture organizzative. Questa attività di ricognizione può aiutarli a individuare i dipendenti che influenzano l’approvazione dei pagamenti, i rapporti con i fornitori, i budget, i contratti, gli account dei clienti o i dati sensibili del personale.

In questo contesto, i ricercatori distinguono tra privilegi tecnici e quello che definiscono “privilegio aziendale”. Un account non deve necessariamente disporre di accesso amministrativo per avere valore, se il suo titolare può autorizzare spese, coordinare i reparti o influenzare la gestione di un incidente. I manager affermati tra i quaranta e i cinquant’anni possono offrire un accesso particolarmente utile ai processi aziendali e ai responsabili delle decisioni, senza richiedere la compromissione diretta del team dirigenziale.

L’indagine ha inoltre rilevato che più di una dozzina di organizzazioni ha segnalato la compromissione di più dipendenti. Questo schema suggerisce che alcuni aggressori si siano espansi tra diverse funzioni aziendali dopo aver ottenuto un punto d’appoggio iniziale, migliorando potenzialmente l’accesso ai dati e aumentando la pressione sull’organizzazione vittima.

Estorsione oltre la crittografia

I risultati sono in linea con uno spostamento più ampio verso il furto di dati e l’estorsione, invece di fare affidamento esclusivamente sulla crittografia dei file. Zscaler ha riferito che l’attività ransomware bloccata dalla sua piattaforma cloud è aumentata del 146% rispetto all’anno precedente. Ha inoltre registrato un aumento del 70% degli incidenti di estorsione resi pubblici e un incremento del 92% nella quantità di dati sottratti alle vittime.

Il rapporto sottolinea la necessità per le organizzazioni di proteggere gli account sensibili per l’attività aziendale con la stessa attenzione riservata ai tradizionali account privilegiati. Le verifiche degli accessi, l’autenticazione a più fattori, la segmentazione, il monitoraggio delle attività insolite degli account e i piani di risposta agli incidenti testati possono contribuire a ridurre l’impatto delle operazioni ransomware mirate.