Sommario
Il panorama del ransomware sta vivendo una fase di trasformazione significativa. Nel 2024, il totale dei pagamenti da parte delle vittime è diminuito del 35% rispetto all’anno precedente, un segnale che indica una crescente resistenza da parte delle aziende e un miglioramento delle operazioni di sicurezza a livello globale. Tuttavia, gli attaccanti non sono rimasti a guardare: nuove varianti di ransomware, gruppi emergenti e tecniche sempre più sofisticate dimostrano che la battaglia è tutt’altro che finita.
Il calo dei pagamenti: una vittoria per la cybersecurity?
Nel 2024, i gruppi ransomware hanno incassato circa 813,55 milioni di dollari, contro gli 1,25 miliardi di dollari del 2023. Questo declino rappresenta la prima significativa diminuzione dei profitti dei cybercriminali dal 2022, e secondo gli esperti è dovuto a tre fattori principali:
- Miglior risposta delle forze dell’ordine, con azioni coordinate su scala internazionale per smantellare gruppi ransomware di alto profilo.
- Aziende più preparate, con politiche di backup più efficaci e una minore propensione a pagare riscatti.
- Aumento della collaborazione tra paesi, con l’adozione di misure più stringenti per il monitoraggio dei flussi di criptovalute legati ai ransomware.
Tuttavia, sebbene il calo dei pagamenti sia un segnale positivo, il numero di attacchi non è diminuito. Anzi, il numero di eventi di ransomware è aumentato, ma con un maggior numero di vittime che scelgono di non pagare.
L’evoluzione del ransomware: nuove tattiche e gruppi emergenti
Di fronte al declino dei pagamenti, i gruppi di cybercriminali hanno adattato le loro strategie. Nel 2024 sono emersi nuovi gruppi ransomware e vecchie organizzazioni hanno subito importanti trasformazioni.
La caduta di LockBit e BlackCat
Uno degli eventi più rilevanti dell’anno è stato il crollo di LockBit e BlackCat, due dei gruppi ransomware più prolifici.
- LockBit, attivo da anni, è stato smantellato grazie a un’operazione congiunta tra il Regno Unito e l’FBI, che ha portato all’arresto di membri chiave e alla compromissione della loro infrastruttura.
- BlackCat (ALPHV) ha subito una drastica riduzione delle operazioni dopo una fuga di informazioni interna, che ha indebolito il gruppo e reso difficile la sua sopravvivenza.
L’uscita di scena di questi due colossi ha lasciato un vuoto nel mercato del ransomware, che è stato rapidamente riempito da nuovi gruppi emergenti.
L’ascesa di Akira, Fog e RansomHub
Tre nuovi gruppi ransomware si sono distinti nel 2024:
- Akira, attivo da marzo 2023, ha intensificato le sue operazioni nella seconda metà del 2024, colpendo più di 250 aziende.
- Fog, comparso a settembre 2024, ha preso di mira vulnerabilità critiche nei sistemi aziendali, dimostrando un’efficienza simile ad Akira.
- RansomHub ha assorbito molti ex membri di LockBit e BlackCat, diventando rapidamente uno dei gruppi più attivi sul dark web.
L’aumento del numero di piccoli gruppi ransomware ha reso il panorama delle minacce più frammentato e difficile da tracciare, ma anche meno strutturato rispetto al passato.
Il declino delle estorsioni su larga scala
Uno degli aspetti più interessanti del 2024 è stato il cambiamento nel modello economico del ransomware. Se in passato i gruppi di hacker puntavano su richieste di riscatto da milioni di dollari, ora si sta assistendo a una segmentazione del mercato:
- Attacchi su piccola scala: ransomware come Phobos stanno prendendo di mira piccole imprese, con richieste di riscatto che vanno dai 500 ai 1.000 dollari.
- Attacchi su media scala: la maggior parte delle richieste rientra ora nella fascia dei 10.000 – 100.000 dollari, che rappresenta il nuovo standard.
- Poche operazioni multimilionarie: mentre nel 2023 c’erano molti attacchi da oltre un milione di dollari, nel 2024 queste operazioni sono drasticamente diminuite.
Questo cambiamento è il risultato di un mix tra maggiore controllo delle transazioni in criptovaluta e crescente resilienza delle vittime, che sempre più spesso scelgono di ripristinare i sistemi da backup piuttosto che pagare il riscatto.
Il problema del riciclaggio: dove finiscono i soldi dei ransomware?
Anche il modo in cui i gruppi ransomware gestiscono i proventi degli attacchi sta cambiando. Nel 2024, il 39% dei fondi rubati è stato movimentato attraverso exchange centralizzati (CEX), mentre è drasticamente calato l’uso dei mixer come Tornado Cash.
Il nuovo metodo preferito dai cybercriminali
A causa delle sanzioni e delle operazioni delle forze dell’ordine, i gruppi ransomware stanno sempre più spesso utilizzando bridge cross-chain per spostare i fondi attraverso diverse blockchain, rendendo più difficile il tracciamento.
Tuttavia, uno degli aspetti più sorprendenti è che sempre più fondi rimangono bloccati nei wallet dei cybercriminali. Questo suggerisce che gli hacker temono di essere individuati e stanno diventando più cauti nel convertire i loro guadagni in denaro reale.
Un futuro incerto per il ransomware
Sebbene il calo dei pagamenti rappresenti una vittoria per le forze dell’ordine, il ransomware rimane una delle minacce più gravi per le aziende.
Le strategie degli hacker stanno diventando più mirate e meno prevedibili, e il mercato del ransomware si sta frammentando, rendendo più difficile l’identificazione dei gruppi responsabili.
Le aziende dovranno continuare a investire nella sicurezza informatica, adottando strategie di backup più solide e aumentando la consapevolezza dei dipendenti sui rischi del phishing e degli attacchi ransomware.
Il 2025 sarà un anno decisivo: riusciranno le autorità a mantenere sotto controllo questa minaccia, o i cybercriminali troveranno nuovi modi per aggirare le difese?
