Di Shaun Stockman, Direttore senior dello sviluppo commerciale per le Americhe presso Ontrack.
Ho partecipato a numerose chiamate con assicuratori e team di risposta agli incidenti nel bel mezzo di casi di ransomware in corso, e la questione del pagamento emerge praticamente in ogni occasione.
Voglio rispondere subito alla domanda del titolo, perché penso che questo aspetto venga troppo spesso trascurato. Pagare il riscatto non garantisce il recupero dei dati. Il rapporto “2025 State of Ransomware” di Sophos ha rilevato che poco meno della metà, ovvero il 49%, delle organizzazioni che hanno pagato il riscatto ha recuperato i propri dati. Abbiamo seguito casi in cui la chiave di decrittazione ha funzionato correttamente. Ho anche partecipato a chiamate in cui la chiave ha danneggiato metà dei file su cui è stata applicata. Se siete un assicuratore che sta valutando la decisione di pagare, o un team DFIR al telefono con un cliente alle 2 del mattino, penso che valga la pena riflettere su questo aspetto prima che qualcuno trasferisca denaro a un aggressore.
Punti chiave
- Il pagamento del riscatto non garantisce il recupero completo dei dati. Diversi studi del 2025 stimano che le probabilità di un recupero completo dopo il pagamento siano ben al di sotto del 100%, e alcuni le considerano quasi pari a quelle di un lancio di moneta.
- Gli strumenti di decrittazione creati dagli autori degli attacchi sono spesso inaffidabili. Possono danneggiare i file, bloccarsi in presenza di file di grandi dimensioni o semplicemente non esistere per ogni versione di una determinata variante di ransomware.
- La doppia estorsione significa che pagare per sbloccare i propri file non impedisce che i dati rubati vengano divulgati altrove. Circa il 18% delle vittime che hanno pagato ha comunque visto i propri dati esposti sul dark web.
- Effettuare una valutazione parallela del recupero dei dati, prima o parallelamente a qualsiasi negoziazione del riscatto, offre una seconda via d’uscita che non dipende dalla fiducia riposta nelle persone che hanno sferrato l’attacco.
Cosa succede realmente quando si paga
Oggi la maggior parte dei pagamenti del riscatto passa attraverso un intermediario, e la somma che cambia di mano raramente corrisponde a quella indicata nella richiesta di riscatto. Sophos ha rilevato che le aziende che hanno pagato nel 2025 hanno versato in media l’85% della richiesta iniziale e più della metà ha negoziato una riduzione dell’importo. Una volta che il pagamento viene accreditato, l’autore dell’attacco dovrebbe inviare uno strumento di decrittografia. Dico “dovrebbe” perché è qui che le cose si complicano.
Questi strumenti vengono solitamente realizzati in fretta, sotto pressione, dallo stesso gruppo che ha creato il ransomware. Non vengono testati come viene testato il software commerciale. Coveware, che si occupa professionalmente di casi di recupero da ransomware, ha documentato casi in cui gli strumenti di decrittografia danneggiano i file invece di ripristinarli, e varianti di ransomware in cui i file di dimensioni superiori a una certa soglia semplicemente non vengono recuperati, indipendentemente dalla chiave in possesso. L’autore dell’attacco non ha alcun incentivo a correggere quel bug per voi dopo aver già ricevuto il pagamento.
C’è un altro problema di cui non si parla abbastanza. Anche quando il decryptor funziona, di solito si tratta di un rudimentale strumento a riga di comando privo di documentazione e di assistenza tecnica. Qualcuno del vostro team IT, già esausto dopo una settimana di risposta agli incidenti, deve capire come eseguirlo su centinaia o migliaia di macchine senza peggiorare la situazione. Ho visto i tempi di ripristino allungarsi di giorni solo a causa di questo passaggio, a prescindere dal fatto che la decrittografia stessa abbia successo o meno.
Se in questo momento vi trovate nelle prime ore di un attacco, la nostra guida agli attacchi ransomware illustra cosa fare prima ancora di arrivare a una decisione sul pagamento, ed è un modo migliore di impiegare la prima ora rispetto alla negoziazione.
I dati sul recupero presentano un quadro contrastante
È qui che voglio essere cauto, perché le statistiche che circolano non misurano tutte la stessa cosa. Sophos riferisce che il 97% delle organizzazioni che hanno subito la crittografia dei dati ne ha recuperato una parte, grazie a una combinazione di backup, decrittografia e pagamento. Sembra rassicurante finché non si guarda più da vicino. Il recupero basato sui backup è al minimo storico degli ultimi sei anni, il che spinge un numero maggiore di organizzazioni verso l’opzione del riscatto per necessità piuttosto che per scelta. E tra coloro che hanno scelto di pagare, ancora una volta, solo circa la metà ha recuperato i propri dati come risultato diretto di quel pagamento.
Altri ricercatori giungono a risultati simili. Alcuni rapporti indicano che il recupero completo dopo il pagamento si avvicina al 60%. Altri, analizzando in particolare i dati del quarto trimestre del 2024, hanno riscontrato un tasso di insuccesso nel recupero completo ancora più elevato. Non sono del tutto sicuro di quale cifra si applichi al caso specifico di una singola azienda, poiché dipende in larga misura dalla variante del ransomware e dalla rapidità con cui è intervenuto il team di risposta. Tuttavia, ogni versione di questi dati punta nella stessa direzione: pagare è una scommessa, non una transazione.
Perché le chiavi di decrittografia non funzionano sempre
Vale la pena conoscere le ragioni tecniche, perché spiegano perché non si tratta semplicemente di sfortuna. Le implementazioni di crittografia scritte sotto la pressione delle scadenze presentano bug e, una volta che un file è stato crittografato in modo errato, nessuna chiave può risolvere il problema. Alcuni ransomware generano chiavi per macchina anziché per file, quindi una rete con punti di infezione misti richiede più chiavi che l’autore dell’attacco potrebbe non aver tenuto traccia. La crittografia parziale, in cui il processo è stato interrotto da uno strumento EDR o da uno spegnimento, lascia i file in uno stato che nessun decrittografo è stato progettato per gestire.
Abbiamo approfondito questo compromesso nel nostro articolo sul se sia opportuno pagare il riscatto; in sintesi, una rapida valutazione da parte di uno specialista del recupero, effettuata prima della decisione sul pagamento, fornisce molte più informazioni su ciò che è effettivamente recuperabile rispetto a quanto indicato nella richiesta di riscatto.
La doppia estorsione cambia i conti
Il pagamento non cancella le copie dei dati che l’autore dell’attacco ha già sottratto. La doppia estorsione, in cui i file vengono crittografati e rubati contemporaneamente, è ormai più la norma che l’eccezione. Potete pagare, ottenere un decrittografo funzionante e ritrovarvi comunque a dover gestire i dati dei vostri clienti su un sito di divulgazione tre mesi dopo, perché il pagamento ha coperto solo la chiave di decrittografia, non la promessa di cancellare nulla.
C’è anche un aspetto legale e normativo in questo contesto, che a mio avviso viene sottovalutato. Se sono stati rubati dati soggetti a regolamentazione, la maggior parte delle leggi sulla notifica delle violazioni non tiene conto del fatto che abbiate pagato un riscatto per riaverli. L’obbligo di divulgazione sussiste perché i dati sono sfuggiti al vostro controllo, punto e basta. Ho parlato con team legali che pensavano che una negoziazione di riscatto andata a buon fine chiudesse definitivamente la questione della loro esposizione, solo per scoprire settimane dopo che ciò non influiva affatto sull’obbligo di notifica.
È proprio qui che l’aspetto del recupero dei dati, distinto da quello del riscatto, tende a essere trascurato. Ontrack ha recuperato dati da attacchi ransomware senza che fosse stato pagato alcun riscatto, compresi casi in cui gli stessi backup erano stati cancellati dall’autore dell’attacco. I nostri esempi di casi di recupero da ransomware ne illustrano alcuni, e sono un buon promemoria del fatto che «pagare o perdere tutto» è una falsa scelta più spesso di quanto si pensi.
Cosa fare concretamente
Se siete un assicuratore, integrate la valutazione del recupero nel vostro flusso di lavoro relativo ai sinistri come percorso parallelo, non come soluzione di ripiego dopo il fallimento della negoziazione. Se fate parte di un team DFIR, conservate i dati crittografati e i nastri di backup esattamente così come sono prima che qualcuno parli di ripristino delle impostazioni di fabbrica. Un disco rigido che è stato riformattato o un nastro che è stato sovrascritto chiude porte che uno specialista potrebbe altrimenti aprire.
Considerate il pagamento del riscatto come una delle opzioni sul tavolo, non come la mossa predefinita. Nella mia esperienza, i casi che si risolvono bene sono quelli in cui il recupero e la negoziazione avvengono contemporaneamente, gestiti da persone diverse, in modo che la decisione sul pagamento venga presa sulla base di informazioni concrete anziché sotto pressione e in assenza di dati.
Domande frequenti
Il pagamento del riscatto garantisce che riavrò tutti i miei file?
No. Dati recenti indicano che le probabilità di un recupero completo dopo il pagamento si aggirano tra il 49% e il 60%, a seconda dello studio e della variante di ransomware coinvolta.
Uno strumento di decrittazione può effettivamente danneggiare i miei dati?
Sì. I decryptor creati dagli autori degli attacchi vengono raramente testati come avviene per i software di recupero commerciali, e ci sono casi documentati in cui questi strumenti danneggiano i file invece di ripristinarli, in particolare con file di grandi dimensioni.
Ho già pagato e la decrittografia non è andata a buon fine. E adesso?
Interrompi l’esecuzione dello strumento di decrittografia e non tentare ulteriori interventi fai-da-te sulle unità interessate. Mantieni lo stato attuale e rivolgiti a uno specialista nel recupero dati che possa valutare cosa sia rimasto intatto dopo il tentativo di decrittografia fallito.
Le compagnie assicurative dovrebbero semplicemente includere il pagamento del riscatto in ogni richiesta di risarcimento?
Si tratta di una decisione in materia di copertura e rischio che lascerei ai team di sottoscrizione e legali dell’assicuratore stesso, ma ritengo che i dati sostengano l’idea di considerare il pagamento come ultima risorsa piuttosto che come prima mossa, data la frequenza con cui non riesce a garantire da solo il recupero completo dei dati.
Considerazioni finali
La decisione sul riscatto non scomparirà, e i dati alla base di essa non miglioreranno da soli. Ritengo che la mossa più intelligente, sia per gli assicuratori che per chi si occupa della gestione degli incidenti, sia smettere di considerare il recupero e la negoziazione come fasi sequenziali e iniziare a gestirle in parallelo.
Italia | Italiano
Locations
Cerca
Torna all'elenco
