Nervi saldi, tattica e strategia: alla scoperta del negoziatore cyber

Questo riportava l’edizione del 23 dicembre 1996 del “New York Magazine”.

L’era del cyber negoziatore

Già nel 1996 e ancor di più nell’era attuale, il termine “cyber” viene affiancato a molte parole precedentemente esistenti, per conferirgli una sorta di “modernizzazione”. Ad oggi, basta prestare attenzione ai social e ai giornali per accorgersi che la maggior parte delle figure lavorative tradizionali ha subito un “upgrade” alla versione “cyber”. Tra queste in Italia, anche se meno popolare e ancora in fase di evoluzione, vi è la figura del “negoziatore cyber”.

Per quanto possa sembrare a primo acchito strano, il termine riprende proprio quelle abilità di negoziazione utili a comprendere non solo le pretese del cybercriminale e la sua posizione di fronte ad una eventuale trattativa, ma anche possibili strategie efficaci e risolutive.

Per quanto ormai si negozi in gran parte dei contesti lavorativi o privati, non si può affidare una trattativa di un attacco ransomware a una persona qualunque, dal momento che il carico psicologico ed economico in determinate situazioni è davvero elevato. Si rendono necessarie, quindi, specifiche caratteristiche caratteriali e competenze adeguate. Lucidità, distacco, intelligenza emotiva, empatia ma soprattutto metodo, rappresentano alcune delle skills necessarie per una negoziazione efficace. Di conseguenza il dipendente che, come accade spesso in queste situazioni, viene coinvolto nelle trattative, oltre che trovarsi impreparato da un punto di vista tecnico, potrebbe peccare di mancanza di lucidità, organizzazione e distacco emotivo visto il suo diretto coinvolgimento con la vicenda.

Valutando gli ultimi attacchi ransomware, che hanno interessato i principali colossi del settore informatico, energetico, ferroviario e non solo, si è potuto osservare una nuova strategia di attacco che non è più casuale e a strascico come in passato ma studiata accuratamente per colpire specifici obiettivi e ottenere il massimo dei guadagni. Come qualunque altro attacco cibernetico, la sua evoluzione è in continua crescita.

D’altronde va di pari passo a tutte quelle tattiche e vulnerabilità che giorno dopo giorno vengono scoperte e pubblicate dai principali organi statali e non solo per la salvaguardia dei propri e altrui sistemi informatici. Per questa ragione nel mondo cyber, più che in qualunque altro settore, è necessario formare sempre più nuove figure, tra cui quella del negoziatore di ransomware con lo specifico compito non tanto focalizzato al pagamento del riscatto ma piuttosto volto ad ottimizzare i tempi di reazione nel tentativo di ridurre quanto più possibile le perdite determinate dalla situazione.

Servono competenze mirate

Come è emerso dai vari attacchi perpetrati negli ultimi anni, tra gli attori dall’altra parte della trattativa, si possono trovare non solo il singolo hacker ma anche gruppi criminali organizzati per compiere attacchi di questo tipo, anche a livello globale (si veda REvil, Avaddon ecc.). Si deduce che, per far fronte a determinate situazioni, occorre schierare operatori con competenze mirate professionali e strategiche per gestire al meglio la situazione.

Non è da escludere che anche gli stessi attaccanti possano a loro volta avvalersi di negoziatori in grado di far uso di sofisticate tecniche di comunicazione e negoziazione. Generalmente non è mai consigliato pagare il riscatto, purtroppo però alcune volte potrebbe essere l’unica soluzione, soprattutto se si ha urgenza di riavviare la propria attività.

Cosa si indica con il termine “ransomware”

Prima di spiegare quando interviene il negoziatore cyber e in che modo, è utile definire cosa sia un ransomware e il suo funzionamento.

Derivante dal termine inglese “ransom” che significa “riscatto”, questo non è altro che un malware (un software malevolo) che agisce infettando il sistema operativo di un computer, assumendone il controllo e criptando i dati in esso contenuti per renderli inaccessibili al proprietario, così da metterlo in condizione di dover pagare un riscatto (solitamente in criptovalute) per riottenerne il controllo. Basta leggere queste poche righe per capire il perché sia diventato uno dei pericoli più temuti dalle aziende.

Guida al ransomware: cos’è, come si prende e come rimuoverlo

Attacco ransomware: rischio basso, guadagno alto

A rendere la situazione ancora più complessa è stata anche la sua evoluzione a quello che è un vero e proprio servizio fruibile da chiunque mediante un semplice acquisto (RaaS, Ransomware as a Service). Se all’inizio solo in pochi erano in grado di programmare e mettere in atto una serie di strategie utili all’infezione, oggi chiunque può usufruire di un servizio (tranquillamente venduto sul dark web) per eseguire attacchi anche senza avere nessuna competenza tecnica.

Solitamente gli affiliati guadagnano una percentuale su ogni pagamento di riscatto andato a buon fine. Come molte riviste evidenziano, i guadagni per loro sono cospicui soprattutto se si considerano i tassi di rischio molto bassi rispetto alle percentuali di guadagno (si pensi proprio al problema dell’attribution).

Evoluzione del conflitto cyber e cambiamento degli attacchi hacker: il caso del cybercrime-as-a-service

Quanto costa difendersi

Per quanto riguarda le aziende che subiscono un’infezione di questo tipo, il timore è giustificato dal fatto che i costi complessivi per un eventuale ripristino possono essere sette volte superiori rispetto a quello che si crede, in quanto in aggiunta al riscatto si trovano ad affrontare ulteriori costi dovuti alle risorse e al tempo speso a bloccare definitivamente l’attacco, la perdita economica per l’interruzione del servizio, eventuali sanzioni da parte del Garante privacy (GPDP, Garante per la protezione dei dati personali), per non considerare inoltre le somme di denaro necessarie a ripristinare i sistemi.

Il vero investimento è la prevenzione

Discorso a parte merita l’implementazione della parte di “risk prevention” aziendale, mediante l’istituzione, l’evoluzione o l’ingaggio di un Security Operation Center atto al monitoraggio e alla protezione dell’infrastruttura informatica. Quest’ultimo, più che un costo dovrebbe essere percepito come un investimento per l’intero business aziendale dati i rischi e i danni di possibili incidenti informatici.

Anche in questo caso il “lesson learned” assume un’importanza fondamentale al momento del ripristino dei sistemi a seguito dell’attacco ransomware: seppur questo possa essere un concetto scontato, non tutte le realtà sono state in grado di valorizzare e consolidare quanto successo e imparato a seguito di un incidente.

C’è un riscatto per ogni azienda

Altro aspetto che è interessante sottolineare, è come gli stessi cybercriminali ponderino la richiesta di riscatto. Come veri e propri cacciatori di denaro, questi valutano la disponibilità finanziaria dell’azienda target, la qualità e l’importanza dei dati che potrebbero riuscire a sottrarre, il prestigio del proprio gruppo cybercriminale (es. gruppo REvil) oltre che la presenza di possibili assicurazioni contro cyber attacchi. Solitamente, chi decide di sferrare questo tipo di attacco, sa bene che la cifra non può essere troppo alta (richiederebbe troppo tempo la negoziazione) né troppo bassa in quanto perderebbe prestigio lo stesso gruppo criminale che la sta richiedendo.

Nella maggior parte dei casi, la somma che viene richiesta è una percentuale proporzionata al fatturato dell’azienda. L’elemento che accomuna questo tipo di minaccia è il rilascio di un documento a seguito della riuscita dell’attacco, contenente la cifra del riscatto, il mezzo di comunicazione utile a condurre le trattative, nonché una minaccia quale una possibile pubblicazione online dei dati in loro possesso o la diretta eliminazione se non viene pagato il riscatto oppure semplicemente il non rilascio della chiave di decriptazione utile a far ripartire il business aziendale (procurando molti danni economici e reputazionali all’azienda).

E nella trattativa fa capolino lo sconto

Non è mancato nella storia delle trattative che venisse offerto uno sconto nel caso in cui il pagamento fosse stato rapido. È a questo punto che l’intervento di un cyber negoziatore risulta essere determinante, in quanto da una buona trattativa è possibile ottenere grosse riduzioni rispetto alla cifra richiesta inizialmente. La bravura di un buon negoziatore in questo caso deve essere quella di saper gestire bene i tempi.

Come accennato inizialmente, l’ottimizzazione degli stessi in questi casi è fondamentale: si pensi ad un’interruzione del servizio ad un’azienda di e-commerce, ogni minuto ha un costo in termini di mancato guadagno (quindi il prendere tempo non risulta essere sempre la strategia migliore).

Generalmente il gioco tra le parti continua finché le trattative non raggiungono un punto di stallo e l’indisponibilità del cybercriminale a continuare la negoziazione. A quel punto generalmente viene offerta un’ultima possibilità di pagamento, per esempio, prima di una pubblicazione dei dati sottratti.

A questo punto il quesito si riduce a due possibilità: pagare o meno il riscatto. Nel caso in cui l’azienda decida di accettare il pagamento la sua unica speranza sarà quella di affidarsi all’integrità morale dei cybercriminali e alla loro eventuale reputazione agli occhi dell’opinione pubblica.

Caso diverso è quando ci si trova di fronte ad un ransomware come servizio: in questo caso l’attaccante, non curante di dover mantenere una buona reputazione in quanto non facente parte di un gruppo criminale noto, potrebbe essere talmente avido di denaro da non rispettare l’accordo, non fornire la chiave di decrittazione e richiedere anche un secondo riscatto.

In queste situazioni il professionista potrebbe pensare di adottare una strategia volta alla ricerca dello sviluppatore del ransomware ai fini di una collaborazione, dal momento che, solitamente esiste un accordo tacito tra sviluppatore e “cliente” secondo cui è vietato chiedere ulteriori riscatti alla vittima dopo l’avvenuto pagamento.

LockBit 3.0: il ransomware ora offre una ricompensa a chi segnala un bug, per diventare inattaccabile

Nuovi principi di estorsione

Nel giugno 2021 gli USA, come riportato dalla “Reuters” (l’agenzia di stampa britannica), mossero “guerra ai ransomware”, avendo capito che rappresentavano una minaccia elevata in continua crescita che stava e avrebbe continuato ad arrecare ingenti danni al Paese, attribuendogli una priorità simile a quella del terrorismo.

Secondo quanto riporta il report annuale dell’ENISA (ENISA Threat Landscape-ETL-2021), l’attacco ransomware si trova al primo posto tra le tipologie di minacce maggiormente attive sul territorio europeo. Ad oggi, questo tipo di attacco, mantiene la sua posizione sul podio con modalità che stanno prendendo sempre più piede: la “doppia estorsione” e la “tripla estorsione”.

Doppia e tripla estorsione

Primo esempio dell’utilizzo della “double extortion” si ha nel 2019 quando venne utilizzato il ransomware “Maze” per attaccare la “Allied Universal”, un’azienda di personale di sicurezza. Gli attaccanti, prima di criptare tutti i dati della società (attacco ransomware tradizionale) ne avevano estrapolato una copia così da mettere le vittime nella condizione di dover pagare due riscatti anziché uno: il primo per la chiave di decrittazione e il secondo per evitare che i dati rubati venissero divulgati.

Altro eclatante esempio dell’utilizzo di questa tecnica è stato fornito dal ransomware “Conti”. Attivo già dal 2019, ha raggiunto il suo apice di notorietà alla fine del 2021, mantenendo la sua fama anche nel 2022, tanto che in Costa Rica, la cybergang dietro il ransomware, è stata considerata un “gruppo terroristico internazionale” contro cui il presidente costaricano ha dichiarato guerra, a seguito del sabotaggio di numerose agenzie governative del Paese (a giugno 2022 la guerra al ransomware Conti sembrerebbe terminata con successo, con la chiusura del loro Data Leak Site su Dark Web e lo scioglimento della cyber gang).

Tra la fine del 2020 e l’inizio del 2021 si sono verificati invece i primi attacchi con l’utilizzo della “triple extortion”, quando il gruppo REvil ha attaccato più di mille aziende inoculando il ransomware “Sodinokibi” costringendole, come suggerisce il nome della tecnica, a dover pagare tre diverse somme di denaro per riottenere il controllo della propria infrastruttura: per la chiave di decrittazione, per evitare la pubblicazione dei dati sottratti e per proteggere i propri clienti. Viene da sé che avere un backup a poco serve in questi casi.

In un’ottica ancora più evolutiva, i cyber criminali potrebbero pensare di attuare strategie di guadagno attraverso un modello simile a quello del “data brokerage”, ovvero, anziché minacciare l’azienda di pubblicare sui propri siti i dati esfiltrati, cercano nuovi acquirenti per ottenere maggiori profitti. Una strategia questa che potrebbe dar vita ad una vera e propria asta a rialzo, per il recupero e la riservatezza dei dati. In questo caso, pagare il riscatto sarebbe inutile dal momento che ciò non esclude la possibilità che gli attaccanti possano vendere ugualmente i dati rubati a terzi.

Negoziazione nella quinta dimensione: definizione, confronti, evoluzioni

Cosa è la negoziazione? È la capacità di utilizzare la comunicazione per esercitare influenza, al fine di riorientare il pensiero, il processo decisionale ed il comportamento di uno o più individui.

Che sia cyber o tradizionale, l’essenza della negoziazione non cambia, il negoziatore si trova ad affrontare una battaglia psicologica ed emotiva.

Le linee guida

A tal proposito, esistono delle “linee guida” generiche che ogni individuo a capo di qualunque trattativa, a prescindere dal contesto in cui opera, dovrebbe seguire per una negoziazione efficace:

• più che la percezione del negoziatore, a contare è quella della persona con cui si sta trattando;
• evitare di essere incoerenti con quanto si dichiara;
• tentare di instaurare, quando è possibile, uno pseudo-rapporto di fiducia reciproca;
• possedere ottime capacità di ascolto attivo e problem solving;
• avvalersi, per quanto possibile, di tecniche di persuasione ed elicitazione.

Per quanto possano avere elementi in comune in termini di strategie e capacità, la negoziazione cyber presenta differenze notevoli da una tradizionale negoziazione di ostaggi.

Prima di tutto l’incolumità degli individui non è messa a repentaglio, nonostante alcuni incidenti informatici abbiano avuto degli impatti significativi sulla vita delle persone, è raro che comportino minacce dirette a quello che è lo stato di salute dei soggetti implicati.

Capire la motivazione dell’attacco

Un altro punto da considerare è proprio la motivazione: se nei casi tradizionali bisogna capire la ragione per la quale il soggetto ha deciso di prendere in ostaggio delle vite umane e commettere un atto così estremo e pericoloso, nei casi cyber l’obiettivo è principalmente di tipo economico (non sono mancati casi in cui le motivazioni fossero differenti).

Moty Cristal, esperto negoziatore israeliano, a tal proposito ha sottolineato che, seppur in percentuale inferiore, vi sono altri tipi di motivazioni (vendetta, competizione, ideologia) dietro un attacco ransomware e come anche l’individuazione delle stesse possa contribuire ad improntare una negoziazione efficace.

A questa considerazione va anche sottolineata la componente legata al concetto di pericolo, per quanto perseguibile penalmente l’attaccante cyber che pretende una data somma di denaro, essendo fisicamente collocato da un’altra parte e difficilmente rintracciabile, è meno esposto e vulnerabile al concetto di rischio e stress rispetto ad un caso di sequestro vero e proprio in cui si riesce meglio ad individuare, gestire e comunicare con il criminale.

Difficile scoprire da dove vengono i cyber criminali

Sono diversi anche i concetti di interazione e profiling in quanto, non potendo interagire direttamente per via telefonica con l’altro soggetto, risulta difficile intuire con chi si ha a che fare e scoprire sue eventuali vulnerabilità. Qualora conoscesse bene la lingua inglese, utilizzata nella maggior parte delle negoziazioni, ad esempio, risulterà ancora più difficile individuarne il territorio natale.

Tuttavia, come verrà approfondito in seguito, si sono verificati casi in cui l’attenzione rivolta alla sintassi utilizzata dal cyber-criminale ha aiutato gli operatori ad individuarne la provenienza geografica.

Inoltre, la strategia investigativa del magistrato antimafia Giovanni Falcone di “seguire i soldi” non è molto efficace nei casi dei cyberattacchi, dal momento che i riscatti economici da ransomware vengono richiesti in criptovaluta. A seguito di un confronto con Guido Moscarella, COO dell’azienda “Innovery Spa” che è stata ingaggiata per offrire servizi consulenziali ad un’azienda terza colpita da ransomware, è emerso che anche la tipologia di moneta virtuale richiesta può fornire indizi sull’attaccante: uno “script kiddie” ad esempio, considerata la poca esperienza, probabilmente sceglierà una moneta “conosciuta” (es. Bitcoin) piuttosto che altre meno note che sono però “privacy coin” (ovvero garantiscono maggior riservatezza grazie alla non correlabilità delle transazioni come “Monero” o “Zcash”).

Per concludere, nonostante le varie differenze, alla base di ambo le situazioni di crisi, rimane importante avvalersi di un processo decisionale analitico e critico. Come già accennato, anche se non si parla di ostaggi umani, non può essere sottovalutato il valore di un eventuale riscatto anche per la sopravvivenza stessa della azienda colpita. Entrambe le situazioni, in questo senso, necessitano di professionalità, metodologie e tattiche utili a prendere delle decisioni strategiche rapide anche sotto pressione.

Suggerimenti, tecniche e strategie di negoziazione cyber

Come detto in precedenza non è semplice gestire una negoziazione soprattutto se dall’altra parte si trovano delle bande criminali altamente competenti. Come accennato, per quanto possa apparire arduo il compito del negoziatore, conoscere la controparte può rappresentare comunque un vantaggio e un aiuto per improntare la strategia più efficace. L’impiegare quindi energie nella profilazione dell’avversario (identificarne le motivazioni, gli scopi, il grado di esperienza ecc.), come in altri scenari, può risultare determinante.

Secondo quanto consigliato dai maggiori professionisti nel settore, se si riuscisse a convincere l’attaccante che non si possiede nell’immediato il denaro richiesto, la pretesa monetaria potrebbe ridursi del 50%, in quanto il fattore tempo è determinante anche per l’avversario.

Cosa fare e cosa non fare

Per questo motivo potrebbe essere utile applicare alcune tattiche e strategie per coadiuvare il processo di negoziazione quali:

1. non aprire immediatamente il file del riscatto, solitamente in alcuni attacchi è da quel momento che parte il countdown per il riscatto;
2. impiegare il tempo a disposizione per individuare con i vari team aziendali di competenza quanti e quali dati sono stati sottratti/bloccati, cercare di individuare potenziali elementi di profilazione;
3. è sconsigliato in questi casi porsi con un tono arrogante e minatorio, o al contrario troppo remissivo e indifeso, piuttosto è preferibile un tono collaborativo. In ogni trattativa, sarebbe ottimale riuscire ad arrivare ad una condizione di “win-win” mentre risulterebbe imprudente mentire sul proprio asset dal momento che i cyber criminali, prima di sferrare l’effettivo attacco, sono stati all’interno dei sistemi per giorni o anche mesi per studiarne l’infrastruttura;
4. avvalersi di esperti linguistici qualora la lingua dovesse iniziare a rappresentare una barriera;
5. lavorare a stretto contatto con la sezione di “response team”: qualunque traccia trovata può essere utile per la negoziazione. Generalmente se si è in grado di ripristinare alcuni sistemi dai backup, si può usare questo episodio per tentare di abbassare le pretese dell’attaccante;
6. richiedere, quando e se possibile, un altro mezzo di comunicazione non solo per prendere del tempo ma banalmente anche per esporre di più l’attaccante;
7. istituire un team ed un canale interno di comunicazione che non solo sia a supporto del negoziatore nel corso delle trattative ma anche utile ad agevolare lo scambio informativo con il top management. Tuttavia, per far fronte ad eventuali volontà contrastanti tra i vertici aziendali, sarebbe opportuno affidarsi ai consigli del negoziatore in quanto professionista e persona super partes;
8. anziché pagare il riscatto, provare a proporre al cybercriminale una eventuale ricompensa per “lodare” il suo talento per essere riuscito ad “hackerare” i propri sistemi;
9. qualora l’attacco fosse stato sferrato da un gruppo “famoso” di hacker, attivarsi subito per cercare informazioni dalle precedenti aziende attaccate, in quanto contattare altre realtà colpite dallo stesso gruppo può essere utile per ottenere dettagli utili al negoziatore;
10. cercare di capire se dall’altra parte ci sia un gruppo terroristico o meno: in tal caso, pagare il riscatto per il ransomware è un crimine. È quindi importante avvalersi di un negoziatore che sia in grado di profilare nel miglior modo possibile chi possa sedersi dall’altra parte;
11. ad un certo punto, quasi al termine della trattativa, è consigliabile prendere in mano la negoziazione offrendosi di pagare una piccola quota subito e un’altra un po’ più grande successivamente. Per quanto possa sembrare sciocco, solitamente questo tipo di strategia fa sì che, chi ha fretta di concludere e passare ad un altro target, preferisca trovare un accordo tra i due possibili pagamenti mediante un unico in grado di venire incontro ad entrambi le parti;
12. è ovviamente sconsigliato mettere al corrente gli attaccanti che si possiede un’assicurazione.

Prevenire è meglio che curare: il connubio tra tecnologia e fattore umano

Più ci si prepara con una buona e costante pianificazione ed esercitazione, più crescono le probabilità di avere successo. Non basta implementare un piano, ma saperlo anche mettere in pratica con metodo e giudizio. A tal riguardo sarebbe utile anche lavorare sulle euristiche (scorciatoie mentali) legate alla mente umana, soprattutto in una condizione di stress particolare.

Ogni azienda che sia una multinazionale o PMI dovrebbe essere preparata a fronteggiare una situazione di crisi ed avere un “disaster recovery plan” testato, efficace e costantemente aggiornato.

Dal momento che la rivoluzione informatica e tecnologica ha investito la maggior parte delle realtà aziendali, è inevitabile focalizzare l’attenzione sul custodire e proteggere l’ampia mole di dati posseduti.

In questo senso, avere una sistema di backup dei dati aziendali è d’obbligo e rappresenta un must anche per la gestione della sicurezza informatica.

Purtroppo, la semplice archiviazione effettuata sul singolo computer non protegge i dati dalla possibilità di essere consultati, manipolati o distrutti da terzi (come dimostrato anche nei casi di attacchi ransomware).

Backup, la regola del 3-2-1

Per far fronte al problema una delle regole tradizionali più efficaci è quella del “3-2-1” per la gestione dei backup. Come suggerisce il nome, essa prevede i seguenti punti: 

• Possedere almeno tre copie dei dati. 
• Conservare le copie su due supporti diversi. 
• Conservare una copia del backup off-site.

Un discorso a parte merita il cosiddetto “backup immutabile” (Immutable Backup). Questo oltre che risultare ottimale in termini di punto di rispristino dei sistemi in caso di incidente è, come suggerisce il nome, anche in grado di impedire la manomissione dei dati esistenti (grazie al modello WORM: write-once-read-many). In questo modo, i danni causati dall’attacco sarebbero contenuti anche in termini di non interruzione della propria attività.

Considerato comunque che il rischio zero non esiste e che l’inevitabilità che si verifichi un incidente informatico è reale, sarebbe efficace iniziare ad orientare gli sforzi verso un nuovo concetto più vicino al paradigma della “resilienza informatica”: anche a livello psicologico l’idea di lavorare per raggiungere qualcosa di più realizzabile, rispetto alla costante consapevolezza di non poter raggiungere la protezione totale dei sistemi, è positivamente più impattante sulle prestazioni individuali.

Compreso l’importante connubio tra il fattore umano e quello tecnologico, non si dimentichi una importante lezione: di fronte ad una crisi, qualunque essa sia, è principalmente il fattore umano che deve essere gestito mediante anche il supporto degli elementi tecnologici e non viceversa.