Cos’è la cyber extortion, come proteggersi e cosa fare se sei vittima. Qual è il costo e i rischi per le aziende.
Indice
- Cos’è la cyber extortion?
- Tipi di cyber extortion
- Come funziona la cyber extortion?
- Quali leggi si applicano in caso di cyber extortion?
- Come segnalare un caso di cyber extortion?
- Cosa fare se qualcuno ti minaccia online?
- Il costo della cyber estorsione
- Esempi di cyber extortion
- Come influisce la cyber extortion sulla reputazione?
- Conclusioni
- FAQ
Cos’è la cyber extortion?
Occuparsi della sicurezza informatica riveste un ruolo importante nella gestione della tua reputazione online.
Un attacco alla tua identità digitale o un qualunque attacco informatico può incidere in maniera negativa sulla tua brand reputation sia da un punto di vista dell’immagine, sia economicamente.
Un tipo particolare di attacco informatico è la cyber extortion.
Si tratta di una estorsione che si perpetua online costringendo un individuo o un’azienda a pagare un riscatto in cambio del recupero dell’accesso alle risorse informatiche rubate.
Secondo la definizione che troviamo nel report pubblicato dall’IC3, la parola extortion viene spiegata come:
“Estrazione illecita di denaro o beni mediante intimidazione o esercizio indebito di autorità. Può includere minacce di danni fisici, procedimenti penali o esposizione pubblica”.
Nello stesso documento promulgato dall’organizzazione che si occupa di cyber security del governo statunitense si leggono dati interessanti sulla cyber extortion.
Nel 2021 ci sono stati 39.360 casi di estorsione online, in diminuzione rispetto ai tre anni precedenti.
Il picco di casi si è registrato nel 2020, con circa il doppio: 76.741 denunce.
Tipi di cyber extortion
Le cyber extortion hanno uno scopo ben preciso: bloccare o limitare le funzioni di un dispositivo finché non si paga un riscatto.
Le risorse bloccate da un attacco informatico volto all’estorsione digitale possono essere di qualsiasi natura.
Si può trattare, per esempio, di informazioni sensibili dei dipendenti di un’azienda o dei suoi clienti; dati confidenziali che se divulgati potrebbero danneggiare la reputazione online.
Allo stesso modo, ci sono diversi tipi di cyber extortion, che si diffondono attraverso mezzi e attacchi di varia pericolosità.
I più comuni sono sicuramente i ransomware e gli attacchi DDoS.
Altre modalità di diffusione includono:
- Le campagne diffamatorie online;
- Lo spam;
- Le recensioni negative false;
- Il phishing.
Tutte agiscono sul furto di informazioni e con il fine di danneggiare la reputazione online.
Un caso particolare di cyber extortion è rappresentato dal Sextortion.
Questo crimine viene così definito dal Cambridge Dictionary:
“La pratica di costringere qualcuno a fare qualcosa, in particolare per compiere atti sessuali, minacciando di pubblicare foto di lui nudo o informazioni sessuali su di lui.”
Si tratta, quindi, di una minaccia a sfondo sessuale.
Ransomware
Con il termine ransomware si definisce una tipologia di malware utilizzato dagli hacker per infettare i dispositivi delle vittime, bloccandone le funzionalità.
Sfruttando le vulnerabilità e soprattutto l’ingenuità di chi utilizza il computer, l’attacco si insinua all’interno del sistema criptando i file e ogni tipo di informazione.
Le tecniche di infiltrazione più utilizzate sfruttano le email di phishing, le reti web non sicure o il cybersquatting, che prevede la falsificazione di siti web.
Gli hacker fanno in modo che la vittima sia la diretta responsabile dell’attacco.
Tutti questi stratagemmi di ingegneria sociale, infatti, spingono gli utenti a scaricare il malware direttamente sul dispositivo.
Da lì in poi il software maligno bloccherà l’accesso a file e sistemi a cui si potrà riavere accesso solo in seguito al pagamento del riscatto.
Una schermata che avverte dell’avvenuta infezione apparirà sullo schermo e l’utente avrà un tempo limitato per pagare.
Ultimamente si sta diffondendo un tipo di attacco ransomware detto a doppia estorsione che, oltre a crittografare i dati, crea una copia di backup dei file per poterli diffondere sul web anche dopo il pagamento del riscatto.
Attacchi DDoS
Altra tipologia di attacco di cyber extortion è quello DDoS (Distributed Denial-of-Service), che significa interruzione nella distribuzione del servizio.
Questo tipo di attacco si realizza come un’azione congiunta da parte di diversi server che mettono in disuso un sito web.
I criminali inviano una quantità di dati talmente consistente da bloccare il server mandandolo in tilt.
Gli aggressori DDoS utilizzano una strategia di attacco misto che combina vari metodi di attacco con ingegneria sociale, furto di credenziali e attacchi fisici.
Secondo Kaspersky, nel primo trimestre del 2022 gli attacchi DDoS sono stati 91.052, quattro volte superiori a quelli dello stesso periodo del 2021.
L’obiettivo di questo tipo di attacchi è quello di rendere la rete temporaneamente inutilizzabile.
I danni di tale tipo di attacco sono evidenti se si considera l’esempio di una piattaforma eCommerce.
Anche nel caso sia solo un blocco temporaneo, che in generale non supera le poche ore, gli attacchi DDoS provocano significative perdite economiche.
Come funziona la cyber extortion?
La cyber extortion funziona in maniera diversa a seconda di quale tecnica di attacco venga scelta.
Tuttavia, tutte hanno lo scopo di limitare le funzionalità hardware o software dell’infrastruttura attaccata.
Il procedimento, quindi, si compone di una serie di fasi ricorrenti:
- L’hacker invia alla vittima un virus che si insinua nel dispositivo.
Di solito i criminali mascherano il malware all’interno di mail di phishing o attraverso altri sistemi di ingegneria sociale.
- Il virus si propaga crittografando tutti i file.
Una volta che la vittima ha scaricato il malware, questo scansiona tutti i file presenti sul dispositivo e li rende inaccessibili con un sistema di crittografia.
- L’hacker chiede il pagamento di un riscatto per il ripristino dei dati.
Affinché tu possa ripristinare l’accesso al sistema devi pagare il riscatto per ricevere la chiave di decrittazione.
In questo modo si concretizza l’estorsione.
Questo tipo di attacco richiede, per la sua risoluzione, un’azione congiunta.
Da una parte per bloccare l’azione degli hacker e recuperare file crittografati; dall’altra, per eliminare le informazioni diffuse online e ripristinare la reputazione.
ReputationUP e HelpRansomware offrono entrambi i servizi per garantirti una protezione completa della tua identità digitale.
Come posso proteggere la mia reputazione online?
Elimina tutti i contenuti negativi contro il tuo brand e posiziona contenuti positivi che rilanciano la tua immagine digitale
Quanti cyber criminali ci sono?
Stabilire un numero preciso di hacker responsabili dei vari crimini informatici non è sicuramente semplice.
Negli ultimi anni gli attacchi informatici stanno incrementando notevolmente, e anche il numero di cyber criminali va di pari passo.
Le previsioni per il futuro non sono migliori.
Anzi, lo sviluppo di tante PMI poco inclini agli aspetti IT potrebbe dar vita a un numero sempre crescente di attacchi.
È comunque possibile stilare una lista delle diverse tipologie di hacker:
- Cyber criminali con motivazioni finanziarie;
- Responsabili di hacking etico;
- Cyber criminali supportati dal governo;
- Script kiddies detti anche green hat hackers, che cercano solo la fama;
- Cyber terroristi.
A questi si aggiungono gli hacker interni, come gli impiegati che rubano informazioni alle aziende per le quali lavorano.
Quali leggi si applicano in caso di cyber extortion?
In materia di cybersicurezza sono ancora poche le leggi specifiche che puniscono i vari reati.
La maggior parte delle norme include soltanto l’accezione del crimine online come variante della versione già regolata dai codici.
In Italia, per il crimine di cyber extortion, quindi, si deve considerare l’articolo 629 del Codice Penale sull’estorsione:
“Chiunque, mediante violenza o minaccia, costringendo taluno a fare o ad omettere qualche cosa, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da cinque a dieci anni e con la multa da euro 1.000 a euro 4.000.”
È giusto considerare in questa cornice anche gli attacchi informatici tramite ransomware e le estorsioni informatiche di qualunque natura.
Alcune violazioni aggravanti sono contemplate negli articoli 615 bis e 617 del C. P., nei quali si dispongono le pene per il possesso e la diffusione illecita di foto e video di natura privata e di comunicazioni di terzi.
Inoltre, in tutta Europa i cittadini possono fare riferimento al GDPR nel caso in cui vengano pubblicate online informazioni e dati privati.
In questo caso si può quindi ricorrere al Diritto all’Oblio per eliminare i contenuti diffamatori dal motore di ricerca.
Vuoi esercitare il tuo diritto all’oblio?
ReputationUP rimuove qualsiasi contenuto obsoleto (link, foto, video, commenti, reviews, ecc.) e garantisce la tua privacy
La cyber extortion è un crimine?
Come è facile dedurre dagli articoli appena elencati, la legge ha posto grande rilevanza sugli attacchi informatici volti all’estorsione.
Tale condizione evidenzia come la cyber extortion sia a tutti gli effetti un crimine.
La punibilità del delitto, però, dipende dalla possibilità di riuscire ad identificare il responsabile dell’attacco.
Ogni Paese ha regole e disposizioni diverse, le pene cambiano a seconda della gravità dell’attacco e del numero di minacce create all’interno di un sistema aziendale o privato.
Sicuramente l’attività di un hacker non è legale, ma non bisogna confonderla con l’attività dei tecnici IT che possono attaccare un sistema informatico per valutarne la penetrabilità.
In quest’ultimo caso non vi è nessun illecito e non si entra nell’ambito della criminalità.
Qual è la posizione dell’FBI rispetto alla cyber extortion?
L’FBI ha una sezione che si dedica in toto all’investigazione dei crimini informatici.
Nella sua pagina si legge che si occupa di indagare su crimini informatici che coinvolgono atti criminali e problemi di sicurezza nazionale.
Esempi di atti criminali sarebbero l’utilizzo di un computer per commettere frode o di Internet per trasmettere materiale osceno.
Nell’ambito della sicurezza nazionale, invece, l’FBI indaga su questioni penali che coinvolgono i sistemi bancari e finanziari informatizzati della nazione; le varie reti di emergenza e i sistemi di telecomunicazione.
Come segnalare un caso di cyber extortion?
Per segnalare un caso di cyber extortion in Italia devi rivolgerti alla Polizia di Stato.
La modalità di denuncia restano due: tramite la postazione fisica dell’ufficio di Polizia Postale e attraverso le segnalazione online sul sito ufficiale.
Nel secondo caso dovrai compilare la modulistica seguendo tutti i passaggi e fornendo tutte le informazioni richieste.
Prima di inoltrare il discorso sulle modalità da applicare per denunciare, è opportuno sottolineare quali attacchi si possono denunciare.
I crimini informatici denunciabili sono:
- Truffe;
- Frodi bancarie;
- Furti d’identità;
- Phishing;
- Cyber extortion;
- Violazione del copyright;
- Download illegale;
- Cyberbullismo;
- Scommesse online;
- Cyber stalking;
- Diffamazione online;
- Ciberterrorismo;
- Pedopornografia;
- Attacchi hacker.
Per quanto riguarda la cyber extortion ti consigliamo, se possibile, di recarti in un ufficio della Polizia Postale, per esporre meglio tutti i dettagli della vicenda.
Cosa fare se qualcuno ti minaccia online?
Quando un hacker ti minaccia online dopo un attacco informatico, prima di tutto mantieni la calma.
Anche se è difficile, considerando la situazione in cui ti trovi, cerca di restare con la mente lucida:
- Non pagare mai il riscatto.
Può sembrarti la soluzione più semplice e veloce per risolvere tutto, ma non è assolutamente così: se paghi il riscatto, gli hacker ti considereranno come un bersaglio facile e ti prenderanno di mira più volte;
- La prima cosa da fare è denunciare la cyber extortion alle autorità competenti.
Fai uno screen delle conversazioni, siano queste via e-mail o di altro genere, come prova del crimine;
- Rivolgiti a un’azienda esperta.
Se vedi apparire online materiale compromettente, contatta ReputationUP.
L’azienda ha oltre venticinque anni di esperienza nella gestione della reputazione online e nell’eliminazione di contenuti diffamatori.
Vuoi proteggere la tua privacy online?
ReputationUP garantisce la rimozione di qualsiasi informazione privata e personale (nome, numero di telefono, indirizzo, foto, video) da qualsiasi piattaforma Internet
Posso denunciare qualcuno per cyber extortion?
Come già evidenziato nelle righe precedenti, la legge italiana considera a tutti gli effetti un illecito l’attacco di cyber extortion.
Potrai denunciare tale avvenimento in qualsiasi momento, soprattutto se ti sentirai minacciato o in pericolo.
Tale condizione si estende anche ai beni aziendali e all’impossibilità di utilizzare i sistemi di lavoro.
Nel caso i tuoi dati siano stati pubblicati online, oltre alla denuncia, puoi rivolgerti ad una società di esperti nell’eliminare URL da Google come ReputationUP.
Le vittime devono pagare il riscatto della cyber estorsione?
Una cosa è chiara: non bisogna mai pagare il riscatto, né della cyber extortion né di qualunque altro crimine online.
La posizione ufficiale governativa si riassume nel documento firmato da OFAC e FinCEN, due organi facenti capo al Ministero del Tesoro statunitense:
“Le aziende che facilitano i pagamenti di ransomware, non solo incoraggiano future richieste di riscatto, ma possono anche rischiare di violare le normative OFAC.”
Il riferimento al ransomware è da estendersi anche agli altri crimini di estorsione.
Non pagare il riscatto è fondamentale perché altrimenti c’è il rischio di subire ulteriori estorsioni nel corso del tempo.
Quella che sembra la soluzione più facile, quindi, si trasforma in una condanna per l’azienda.
Saranno i professionisti IT di HelpRansomware a sbloccare il sistema aziendale o privato e consentirti di tornare alle normali attività lavorative.
ReputationUP è capace di rimuovere i dati pubblicati dal ransomware.
Il costo della cyber estorsione
Per considerare il costo complessivo della cyber estorsione, bisogna considerare non solo il costo del riscatto ma anche altre variabili.
Un attacco informatico, oltre al costo potenziale del riscatto, comporta anche dei costi significativi sul blocco dell’attività lavorativa.
Anche il tempo perso nel cercare di risolvere il problema, quindi, va inserito nel calcolo.
Allo stesso modo, bisogna considerare l’eventuale fuga di informazioni come un costo aggiuntivo.
Secondo il rapporto già citato dell’IC3, considerando le denunce delle vittime negli Stati Uniti il costo della cyber extortion ammonta, nel 2021, a 60.577.741 dollari.
A questi andrebbero sommati anche i costi del riscatto dei ransomware, che sempre solo sulla base delle denunce, è di 49.207.908 dollari.
Quali sono i rischi della cyber extortion
Essere vittima di un’estorsione informatica comporta diversi rischi.
Gli hacker possono potenzialmente bloccare qualsiasi tipologia di file nella tua infrastruttura di rete, da un database dei dipendenti/clienti all’accesso a un documento Word o Excel.
Si possono però identificare tre rischi principali raggruppabili in dati personali, minacce e reputazione:
- Dati personali: il blocco dei dati personali aziendali e di quelli dei tuoi clienti può esporre la tua società e il tuo bacino di utenza a possibili attacchi informatici;
- Minacce: uno dei rischi più comuni risiede nel subire continuamente minacce dai cyber criminali;
- Reputazione: ogni volta che il tuo sistema infrastrutturale informatico subisce un attacco di questa tipologia, la reputazione digitale della tua azienda cala drasticamente.
La clientela, nel momento in cui si trova a rapportarsi con una piattaforma o un servizio bloccato, è portato a cambiare sito web.
Inoltre, l’eventuale diffusione di informazioni private e personali può far diminuire la fiducia dei clienti nella tua attività.
Quali aziende possono subire una cyber estorsione?
In un’epoca in cui tutte le aziende dispongono di sistemi collegati in rete per lavorare, potenzialmente sono tutte esposte alla cyber extortion.
Gli hacker tendono a colpire le strutture con una protezione meno forte ed efficiente o quelle che gestiscono dati con determinate caratteristiche.
Per questo, tra le tipologie di aziende più colpite ci sono quelle di piccole e medie dimensioni.
Uno studio condotto da Fundera riporta che il 43% delle PMI ha subito un cyber attacco; il 60% ha chiuso l’attività nei sei mesi successivi all’attacco.
Il settore più colpito,comunque, resta quello sanitario.
In questo caso si tratta di infrastrutture che non possono permettersi l’interruzione dei servizi e quindi pagano il riscatto per tentare di risolvere il problema nel minor tempo possibile.
Nella classifica delle aziende più colpite seguono:
- Tecnologie e comunicazioni: tale settore ha sofferto un forte incremento anche in seguito alla creazione del metaverso.
Lo sviluppo di una nuova piattaforma di socializzazione ha aumentato le occasioni di scambio online e, di conseguenza, anche le occasioni per infliggere un’estorsione;
- Finanza: si tratta di un altro settore molto remunerativo, perché ha bisogno di tutelare i dati personali dei clienti;
- Industria energetica: questo settore apre le porte dell’hacking ad attacchi potenzialmente terroristici;
- Edilizia: gli attacchi a questo settore dimostrano l’importanza del fattore umano, della sua formazione ed educazione digitale.
A parte vanno considerate le aziende di eCommerce, prese di punta dagli attacchi DDoS.
Anche in questo caso, il blocco del negozio online con sistemi DDoS costringe i venditori a pagare nel minor tempo possibile.
Esempi di cyber extortion
Per avere un’idea più chiara di cosa sia e come si sviluppi un attacco di cyber extortion è interessante analizzare alcuni esempi reali:
- Nokia
Nel lontano 2007, degli hacker hanno rubato il codice sorgente del sistema operativo degli smartphone prodotti dalla multinazionale finlandese.
I criminali minacciarono di rivelare la chiave al pubblico e questo avrebbe permesso ad altri criminali di infettare milioni di smartphone innescando una reazione a catena.
Come rivelato anni dopo dal giornale finlandese MTV, Nokia avrebbe pagato il riscatto di milioni di euro per proteggere i suoi dati;
- Domino’s
La famosa catena di fast food è stata attaccata dal gruppo di hacker Rex Mundi nel 2014.
L’attacco aveva rubato i dati di 650.000 account di clienti francesi e belgi e gli hacker chiedevano un riscatto di 30.000 euro.
Come annunciato sul suo profilo Twitter, l’azienda si è rifiutata di pagare il riscatto e ha invitato i clienti a cambiare le loro password di accesso, anche se i dati rubati non contenevano informazioni finanziarie;
- Code Spaces
Si tratta di uno dei pochi casi di cyber extortion che hanno portato alla chiusura di un’azienda.
La compagnia di hosting di codici è stata prima attaccata tramite DDoS e poi gli hacker hanno preso possesso del pannello di controllo Amazon EC2.
Da lì ha eliminato in maniera permanente i volumi di archiviazione, i backup e le configurazioni di sistema.
L’azienda si era rifiutata di pagare il riscatto e ha provato a riprendere il controllo della sua struttura, ma senza successo.
Come influisce la cyber extortion sulla reputazione?
Uno degli aspetti più negativi della cyber extortion è identificabile nell’impatto negativo sulla reputazione aziendale.
Nel momento in cui vengono immesse in rete informazioni personali e private, puoi avere delle ripercussioni.
D’altra parte, a livello aziendale, la tua immagine può essere rovinata dal blocco del tuo sito web, che dirotterebbe immediatamente i tuoi clienti altrove.
Oppure può accadere che la tua clientela percepisca il tuo sistema informatico come poco sicuro.
In entrambi i casi, prima della perdita economica, la tua azienda dovrà affrontare una crisi reputazionale.
Per questo è importante avere una strategia di gestione di tali tipi di problemi.
Sia come azienda che come privato, dovresti elaborare un piano di reputational risk, nel quale si calcolano tutte le conseguenze di un attacco informatico o mediatico alla tua immagine.
I danni alla reputazione si amplificano se l’azienda ha molta risonanza online.
Vuoi proteggere la tua reputazione da haters e fake news?
Rischi di perdere il 22% delle entrate se i potenziali clienti trovano un singolo link negativo nella prima pagina di Google
Come proteggere un’azienda dalla cyber extortion
Per avere delle linee guida ufficiali sulla protezione dei dati, le aziende possono fare riferimento anche allo standard ISO/IEC 27001.
In ogni caso, per gestire in maniera efficace la propria sicurezza, quindi, un’azienda deve compiere diversi passi:
- I vertici aziendali devono promuovere le iniziative sulla sicurezza;
- Il personale aziendale deve essere adeguatamente formato: la maggior parte degli attacchi informatici avvengono per distrazione degli impiegati;
- Software dedicati: un’azienda deve poter contare su un comparto software capace di monitorare in tempo reale le minacce sui dispositivi aziendali;
- Servizi in cloud e di backup: utilizzare hardware e software che salvano i dati in cloud ti consente di avere una copia dei dati anche dopo l’attacco e quindi non avrai bisogno di pagare il riscatto.
Le aziende devono capire che la protezione dei loro sistemi informatici è fondamentale per evitare intrusioni e preservare così una buona immagine online e offline.
Agire sulla protezione dell’IT significa agire sulla tutela del patrimonio aziendale, sia in termini strettamente economici che in termini di informazioni.
Conclusioni
I rischi associati alla cyber extortion sono rilevanti per privati, PMI e grandi aziende.
Sebbene alcuni settori lavorativi siano meno vincolati a tale problematica, affinché si possano evitare perdite economiche e di brand reputation è indispensabile munirsi di strumenti efficaci.
Di seguito le conclusioni che puoi trarre da questo articolo:
- La cyber extortion è un’estorsione che si perpetua online costringendo un individuo o un’azienda a pagare un riscatto in cambio del recupero dell’accesso alle risorse informatiche rubate;
- Nel 2021 ci sono stati 39.360 casi di estorsione online;
- Le cyber extortion hanno uno scopo ben preciso: bloccare o limitare le funzioni di un dispositivo finché non si paga un riscatto;
- I tipi più comuni di cyber extortion sono il ransomware e gli attacchi DDoS;
- Considerando le denunce delle vittime negli Stati Uniti il costo della cyber extortion ammonta, nel 2021, a 60.577.741 dollari;
- La cyber extortion influisce in maniera negativa sull’immagine online di un’azienda e sulla sua brand reputation.
Tanto le aziende come i privati devono disporre di una serie di mezzi per proteggere le proprie informazioni dagli attacchi.
Se sei stato vittima di una cyber extortion puoi rivolgerti a ReputationUP, azienda leader mondiale nella rimozione di contenuti lesivi dal web e gestione della reputazione online.
FAQ
Se sei vittima di sextortion o di qualunque altro tipo di cyber extortion, la prima cosa da fare è denunciare tutto alle forze dell’ordine.
Non cedere al ricatto, non bisogna mai pagare i criminali, ma devi agire velocemente.
Se hanno pubblicato online foto o video privati rivolgiti a un’azienda come ReputationUP che può eliminare qualunque contenuto lesivo.
L’estorsione informatica è un termine generico che include diversi crimini informatici.
Il ransomware è solo uno dei modi più comuni in cui la cyber extortion si può compiere.
L’estorsione si riferisce all’atto di intimidire o minacciare la persona con violenza in cambio di un compenso monetario.
La blackmail, o ricatto, d’altra parte, si riferisce a minacciare la persona di rovina sociale, emotiva o professionale in cambio di un compenso monetario.
Per prevenire le conseguenze di una cyber extortion bisogna agire in anticipo.
Esegui periodici backup dei file sul tuo dispositivo, in modo da non perdere i tuoi dati se questi vengono criptati in un attacco.
Tieni sempre aggiornati i tuoi sistemi e le password di accesso ai vari servizi.
Forma i tuoi dipendenti per evitare incidenti interni all’azienda e prepara un piano di gestione dei rischi per essere pronto all’eventuale attacco.
Le aziende vittime di cyber extortion subiscono una violazione dei dati e la perdita di informazioni sensibili.
Le conseguenze di tali atti sono danni alla reputazione, perdita di clienti e di denaro.