Ransomware, pagare o non pagare: gli elementi per decidere

Il messaggio è sempre simile: i vostri file sono cifrati, i vostri dati sono stati copiati, pagate entro una certa data o perderete tutto e i dati saranno pubblicati. Per chi guida un'organizzazione, è uno dei momenti più difficili da affrontare. Questo articolo non dà una risposta valida per tutti i casi, ma mette in ordine gli elementi da considerare. Le decisioni concrete vanno prese con il supporto di legali, specialisti di risposta agli incidenti e, se presente, della compagnia assicurativa.

La posizione delle autorità

Le autorità di contrasto e le agenzie per la cybersicurezza, in Italia e in Europa, raccomandano in generale di non pagare. Le ragioni sono note:

• nessuna garanzia: gli strumenti di decifratura forniti dagli attaccanti possono non funzionare o essere lenti e parziali;
• i dati restano nelle loro mani: il pagamento non assicura che i dati copiati vengano cancellati né che non vengano pubblicati o rivenduti;
• si diventa un bersaglio: chi paga una volta può essere colpito di nuovo, dallo stesso gruppo o da altri;
• si finanzia il crimine: ogni riscatto pagato rende più redditizi gli attacchi successivi.

Gli aspetti legali

In Italia il pagamento di un riscatto non è vietato in termini generali, ma può presentare problemi rilevanti, ad esempio se il destinatario è un soggetto colpito da sanzioni internazionali. Per le pubbliche amministrazioni, inoltre, l'uso di risorse pubbliche per pagare un riscatto pone questioni particolarmente delicate. Sono valutazioni che richiedono un parere legale specifico, caso per caso.

Va ricordato che pagare non fa venir meno gli obblighi: la notifica al Garante in caso di violazione di dati personali, quella al CSIRT Italia o all'ACN per i soggetti tenuti, la comunicazione agli interessati se il rischio è elevato.

Gli elementi da valutare

Quando la richiesta arriva, le domande da porsi con gli esperti sono:

• possiamo ripristinare senza pagare? Con quali backup, in quanto tempo, con quanta perdita di dati?
• esistono strumenti di decifratura gratuiti per quella famiglia di ransomware? Iniziative come No More Ransom ne mettono a disposizione per alcuni tipi;
• quali dati sono stati rubati? E quale sarebbe l'impatto della loro pubblicazione su persone, clienti, cittadini?
• quali sono le conseguenze del fermo prolungato per l'organizzazione e per chi dipende dai suoi servizi?
• cosa prevede la polizza assicurativa, se esiste, e quali sono le sue condizioni?
• chi è l'interlocutore? Il gruppo è noto? Ha precedenti di mancato rispetto degli accordi?

Cosa non fare

• non contattare gli attaccanti di propria iniziativa, senza il supporto di specialisti;
• non prendere la decisione da soli, nella fretta delle prime ore;
• non nascondere l'incidente pensando che il pagamento lo chiuda;
• non considerare il pagamento la fine del problema: il ripristino e la messa in sicurezza dei sistemi restano necessari.

La decisione si prepara prima

La domanda "pagheremmo?" andrebbe discussa a mente fredda, in un'esercitazione o in una riunione dei vertici, non sotto la pressione di un conto alla rovescia. E soprattutto, la vera alternativa al riscatto si costruisce in anticipo:

• backup con almeno una copia non raggiungibile dalla rete, provati con regolarità;
• un piano di risposta con ruoli, contatti e procedure di emergenza;
• un rapporto già avviato con specialisti di risposta agli incidenti o con la compagnia assicurativa.

In sintesi

Pagare un riscatto non garantisce né il recupero dei dati né la loro riservatezza, e non chiude gli obblighi verso le autorità. L'organizzazione che ha preparato backup protetti e un piano provato è quella che, quando arriva la richiesta, può permettersi di dire no.