Gli attacchi ransomware sono realizzati mediante software contenenti codice malevolo che può colpire pc, tablet o altri dispositivi smart.
Lo scopo di tali programmi che appartengono alla categoria dei malware, è di bloccare l’accesso a tutti o parte dei contenuti o renderli illeggibili per poi chiedere un riscatto (“ransom” in inglese).
La richiesta di riscatto, insieme con le istruzioni per il pagamento, è in genere contenuta in una finestra visualizzata sul sistema colpito.
Il tempo concesso per il pagamento, prima che il blocco diventi definitivo, è da poche ore a qualche giorno.
I ransomware possono essere di criptazione quando la loro azione consiste nella cifratura di cartelle, documenti e altri tipi di file. I file o documenti in genere vengono cancellati una volta che sono stati cifrati. Oppure sono ransomware di blocco se impediscono l’accesso al dispositivo o al suo sistema operativo.
Molti esperti nel campo della cybersecurity ritengono che i ransomware rappresenteranno, anche per il 2021, una delle principali minacce alla sicurezza delle informazione.
Inoltre, il fenomeno è in continua evoluzione (qualcuno parla anche di “ransomware 2.0”) e sfrutta tecniche molto efficaci per spingere al pagamento del riscatto.
Gli attacchi ransomware sono data breach
Il regolamento UE 679/2016 (“GDPR”) precisa cosa debba intendersi per data breach: “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.
Un data breach può essere classificato in relazione a quell’aspetto della sicurezza delle informazioni che è stato violato:
- confidenzialità: quando c’è un accesso oppure una divulgazione dei dati personali non autorizzati o accidentali;
- integrità: quando c’è una modifica non autorizzata o accidentale dei dati personali;
- disponibilità: quando c’è una perdita di accesso o distruzione non autorizzati o accidentali di dati personali;
Naturalmente è possibile che un singolo evento interessi uno o più di questi aspetti. Inoltre, ogni violazione della sicurezza dei dati personali può generare una serie di effetti negativi per gli individui che includono danni fisici, materiali e non materiali.
I ransomware spesso rappresentano casi di data breach. Infatti, un codice maligno cripta i dati personali in modo che, successivamente, l’attaccante possa chiedere il pagamento di un riscatto in cambio del codice di decifratura.
Si tratta di un evento classificabile in genere come violazione della disponibilità e/o della riservatezza (es. nel caso in cui, prima della cifratura, i dati siano estratti dai sistemi colpiti ed entrino in possesso di soggetti non autorizzati).
In questi casi il titolare deve compiere una serie di azioni:
- valutare il contesto, l’entità della violazione e il rischio di effetti pregiudizievoli per i diritti e le libertà degli interessati;
- se possibile, adottare le misure di sicurezza per contenere i danni derivanti dalla violazione;
- notificare la violazione al garante della privacy se essa presenta un rischio per i diritti e le libertà degli interessati;
- notificare la violazione ai singoli interessati quando essa presenta un rischio elevato per i diritti e le libertà degli interessati;
Attacchi ransomware: le linee guida dell’EDPB
Dopo una consultazione pubblica il comitato europeo per la protezione dei dati personali (EDPB) ha rilasciato le linee guida 1/2021 con degli esempi utili relativi alla notificazione dei data breach.
Lo scopo del documento è aiutare i titolari del trattamento a decidere come gestire i data breach e quali fattori considerare nella valutazione dei rischi.
Il documento completa le linee guida WP250 emanate dal gruppo di lavoro dell’art. 29 sullo stesso tema, fornendo altri esempi pratici e casi d’uso tratti dall’esperienza maturata dalle varie autorità di controllo da quando il GDPR è diventato applicabile.
In particolare, per quanto riguarda gli attacchi ransomware, vengono presentati quattro casi d’uso tipici. Ogni caso è accompagnato da considerazioni relative alla misure preventive ed alla valutazione del livello di rischio. E una tabella finale riepiloga le azioni richieste sulla base del livello di rischio stimato.
Infine le linee guida forniscono anche un elenco delle misure tecniche ed organizzative consigliate per prevenire/mitigare le conseguenze di un attacco.
Ulteriori appronfondimenti
- Ransomware – Garante Privacy
- Progetto “No more ransom”
- SecurityOpenLab, Il 40% dei ransomware in circolazione sfrutta la doppia estorsione