Un nuovo report di Fenix24 evidenzia gravi lacune nei piani di recupero da ransomware, con la maggior parte delle aziende incapace di ripristinare le operazioni entro i tempi previsti. La dipendenza da Active Directory e la mancanza di test pratici sono tra le cause principali.
Le aziende sono ancora impreparate ad affrontare efficacemente gli attacchi ransomware, con la stragrande maggioranza che fallisce nel ripristinare le proprie operazioni entro i tempi previsti. Questo è quanto emerge dal primo report sullo stato del recupero da ransomware pubblicato da Fenix24, una società specializzata nella risposta agli incidenti.
Secondo i dati raccolti da Fenix24 su oltre 500 interventi di recupero, solo una piccola frazione (lo 0,5%, ovvero quattro clienti su oltre 800) è riuscita ad avvicinarsi ai propri obiettivi di recupero entro le 24-48 ore, e anche in questi casi si trattava solo di operazioni parziali. Nessuna azienda ha raggiunto la piena capacità operativa prima di diverse settimane dall'incidente.
Il report sottolinea come i piani di recupero, pur apparendo solidi sulla carta, si rivelino inefficaci una volta che un attaccante informatico è riuscito a penetrare nella rete.
Una delle criticità maggiori riscontrate è la gestione delle identità digitali. Ben il 99,2% dei clienti si è presentato senza un piano documentato per il recupero delle identità, e i pochi piani esistenti non sono sopravvissuti all'interazione con i cybercriminali. In molti casi, il sistema di login utilizzato per il recupero era lo stesso compromesso dall'attaccante, creando un circolo vizioso.
La causa principale di questi fallimenti è stata identificata in Active Directory, il servizio di directory di Microsoft. In quasi tutti gli scenari analizzati, Active Directory è stato il primo sistema critico a cadere sotto il controllo degli aggressori. Inoltre, il 94% delle aziende aveva collegato i propri sistemi di backup proprio a questa directory compromessa, rendendo di fatto inutilizzabili anche le copie di sicurezza.
Il processo di ripristino di una singola fonte di autenticazione affidabile ha richiesto, in media, circa il 20% del tempo delle prime 48 ore. Il raggiungimento di un'infrastruttura minima funzionante ha poi necessitato di almeno altre 72 ore.
Un altro dato allarmante riguarda la scarsa adozione di misure di sicurezza basilari. Il 95% delle aziende non disponeva di adeguati controlli di autenticazione a più fattori (MFA) sulle console delle infrastrutture critiche, mentre solo il 15% li implementava all'ingresso della rete.
Anche quando i backup sono sopravvissuti all'attacco, spesso non sono stati sufficienti per garantire un recupero efficace. Fenix24 ha riscontrato che il 38% dei backup, pur intatti, non ha potuto essere utilizzato per vari motivi: potevano essere troppo datati, corrotti, incompleti, nel formato sbagliato o richiedere tempi di ripristino superiori a quelli necessari per ricostruire l'infrastruttura da zero.
Oltre alle problematiche tecniche, sono emersi anche ostacoli fisici e di pianificazione. L'82% delle aziende ha sofferto di carenza di spazio di archiviazione, impedendo lo sbarco dei dati ripristinati senza sovrascrivere le prove forensi. Nel 38% dei casi, la rete non era in grado di gestire il trasferimento dei dati alla scala necessaria per il recupero.
Un ulteriore problema è la mancanza di una visione completa delle applicazioni e delle loro dipendenze. Nessuna azienda possedeva un quadro chiaro di questo aspetto, con le informazioni più vicine reperibili in database di configurazione che spesso cadevano insieme al resto dell'infrastruttura.
Per contrastare queste vulnerabilità, Fenix24 raccomanda alle organizzazioni di identificare i propri servizi aziendali più critici per il fatturato e di richiedere una mappa completa delle loro dipendenze, incluse quelle di terze parti. È fondamentale, inoltre, testare l'intero percorso di ripristino end-to-end rispetto agli obiettivi attuali. L'azienda sottolinea che simulazioni e piani non testati sono equivalenti a non avere alcun piano.
Jason Soroko, esperto di sicurezza presso Sectigo, ha commentato che i dati di Fenix24, sebbene specifici per i loro interventi, evidenziano un fallimento sistemico che le organizzazioni dovrebbero assolutamente verificare e testare.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
