Venerdì 2 luglio, alla vigilia del lungo weekend dell’Indipendenza americana, il gruppo REvil ha lanciato l’attacco ransomware più esteso visto finora. Non ha colpito una singola azienda, ma lo strumento che i fornitori di servizi IT usano per gestire i computer dei clienti: Kaseya VSA.
VSA è una piattaforma di monitoraggio e gestione remota usata da molti managed service provider, le aziende a cui piccole e medie imprese affidano i propri sistemi. Gli attaccanti hanno sfruttato una vulnerabilità non ancora corretta nei server VSA installati in sede e da lì hanno spinto verso tutti i computer gestiti un falso aggiornamento con dentro il ransomware. La fiducia tra fornitore e cliente è diventata il canale di distribuzione. Il tempismo aggiunge amarezza: la falla era già stata segnalata a Kaseya da ricercatori olandesi, e l’azienda stava preparando la correzione.
Secondo Kaseya i clienti diretti compromessi sono meno di 60, tutti con VSA in sede. A valle, però, le aziende colpite sono tra 800 e 1.500, in almeno 17 Paesi. In Svezia la catena di supermercati Coop ha dovuto chiudere gran parte dei suoi 800 negozi perché le casse, gestite da un fornitore che usa VSA, erano bloccate. REvil chiede 70 milioni di dollari per un decifratore universale, oltre ai riscatti per le singole vittime.
Kaseya ha chiesto ai clienti di spegnere subito i server VSA in sede, ha disattivato per precauzione anche la versione cloud e ha distribuito uno strumento per cercare indicatori di compromissione. Se usi VSA, tieni il server spento finché non arrivano la patch e le istruzioni per riattivarlo.
Se il tuo IT lo gestisce qualcun altro
Il caso ti riguarda anche se non hai mai sentito il nome Kaseya. Chiedi al tuo fornitore quali strumenti di gestione remota usa, come li protegge e quanto rapidamente li aggiorna. Pretendi autenticazione a più fattori e accessi tracciati per chiunque metta mano ai tuoi sistemi da remoto. Verifica che i backup non siano raggiungibili con le stesse credenziali e gli stessi strumenti del fornitore: se lo sono, un attacco come questo li cifra insieme a tutto il resto.
Poi fatti una domanda scomoda: cosa fai se il tuo fornitore IT viene colpito proprio nel giorno in cui ne hai più bisogno?
