Domenica 1° novembre un attacco ransomware ha colpito Davide Campari-Milano, uno dei principali gruppi mondiali degli alcolici. Martedì 3 il gruppo ha confermato l’incidente: per contenerlo ha sospeso temporaneamente i servizi IT, isolato i sistemi e avviato la bonifica, con una riattivazione graduale.
La nota di riscatto porta la firma di RagnarLocker, un gruppo che pratica la doppia estorsione: prima ruba i dati, poi cifra i sistemi e minaccia di pubblicare tutto se non viene pagato. Gli attaccanti sostengono di aver sottratto circa 2 TB di dati, tra cui contratti, documenti contabili ed email, e di aver cifrato server in sedi di 24 paesi. Chiedono 15 milioni di dollari in bitcoin. Come prova hanno pubblicato sul proprio sito alcuni documenti interni, tra cui contratti e corrispondenza.
Il 6 novembre Campari ha aggiornato il comunicato con un passaggio che pesa: allo stato delle indagini non si può escludere che siano stati sottratti dati personali e aziendali. Sulle cifre indicate dagli attaccanti, quantità di dati e importo del riscatto, l’azienda non si è espressa.
Il backup non basta più
RagnarLocker non usa armi esotiche. Di solito entra da accessi remoti mal protetti, come RDP o VPN non aggiornate, e poi si muove nella rete fino ai server più importanti. La doppia estorsione cambia il ruolo dei backup: ripristinare i sistemi rimette in piedi l’azienda, ma i dati sono già fuori.
Le difese partono quindi da prima. Chiudi i servizi di accesso remoto esposti su Internet e proteggi quelli indispensabili con VPN aggiornate e autenticazione a più fattori. Segmenta la rete: una filiale estera non dovrebbe poter raggiungere liberamente tutti i server centrali. Tieni d’occhio i trasferimenti anomali di grandi quantità di dati verso l’esterno, perché due terabyte non escono in silenzio e spesso sono l’ultimo segnale prima della cifratura. I backup offline, con un ripristino completo provato davvero, restano indispensabili per ripartire.
E prepara il piano di risposta prima di averne bisogno. Chi decide di spegnere i sistemi, chi parla con i legali, chi scrive al Garante entro le 72 ore previste dal GDPR: sono domande a cui è meglio rispondere un martedì qualsiasi, non la domenica dell’attacco.
