A meno di un mese da Colonial Pipeline, il ransomware ha fermato un’altra filiera essenziale. Durante il fine settimana del 29 e 30 maggio JBS, multinazionale brasiliana e primo produttore di carne al mondo, ha subito un attacco che ha bloccato i sistemi in Stati Uniti, Canada e Australia.
Per contenerlo l’azienda ha sospeso i server coinvolti. Negli Stati Uniti si sono fermati tutti gli stabilimenti di lavorazione della carne bovina, con rallentamenti su suino e pollame; in Australia e Canada il lavoro è stato sospeso in diversi impianti. Il 1° giugno la Casa Bianca ha confermato che si tratta di ransomware e che il gruppo responsabile è probabilmente basato in Russia. Il giorno dopo l’FBI ha attribuito ufficialmente l’attacco a REvil, noto anche come Sodinokibi.
REvil è tra i gruppi più redditizi e aggressivi in circolazione. Come DarkSide lavora con affiliati e pratica la doppia estorsione: ruba i dati prima di cifrarli e li pubblica sul proprio sito se la vittima non paga. Gli affiliati entrano di solito con credenziali rubate, accessi remoti esposti o malware distribuito via email. Non è ancora noto da quale di queste porte siano passati in JBS, né se l’azienda abbia pagato.
Un dettaglio della vicenda merita attenzione. JBS ha dichiarato che i server di backup non sono stati colpiti, e dal 2 giugno la grande maggioranza degli stabilimenti è tornata operativa. Pochi giorni di fermo invece di settimane: la differenza la fanno copie dei dati tenute separate dalla rete e dalle credenziali di dominio, e procedure di ripristino provate davvero.
Ospedali, energia, cibo. Chi gestisce questi attacchi sceglie sempre più spesso aziende per cui ogni ora di blocco vale moltissimo, perché è lì che la probabilità di un pagamento sale. Non serve essere un’infrastruttura critica per finire nel mirino: basta che il fermo costi più del riscatto.
Prova allora a fare il conto che farebbe un attaccante: quanto ti costa un giorno con i sistemi spenti? Quella cifra è il prezzo che userebbe per il riscatto, ed è anche un buon riferimento per decidere quanto investire in autenticazione a più fattori su accessi remoti e posta, segmentazione tra sedi e reparti, test di ripristino.
