Un attacco ransomware, che potenzialmente avrebbe potuto radere al suolo il catasto in Romania, ha mandato in tilt il mercato immobiliare del Paese.
Un criminal hacker afferma di aver reagito al presunto rifiuto del governo di pagare un riscatto per riottenere i dati, tentando di mandare in fumo i dati dell’infrastruttura digitale da cui dipendono le compravendite del Paese dell’Est Europa.
In realtà non è riuscito a cancellare la banca dati e anche la dinamica dell’attacco sarebbe diversa da una prima ricostruzione dei fatti, smentita successivamente. Per fortuna, i danni sembrano contenuti, ma, nonostante, il rientrato allarme, non bisogna abbassare la guardia.
Secondo Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0, “il caso Romania dimostra ancora una volta che il problema non è il ransomware, ma tutto ciò che gli permette di entrare, dalle credenziali compromesse alle vulnerabilità già note e non corrette, senza ricorrere a tecniche particolarmente sofisticate”.
“Continuiamo però a vedere lo stesso copione in tutta Europa: enti pubblici che gestiscono dati critici per milioni di cittadini con budget di sicurezza ridicoli rispetto a quelli del settore bancario o privato, e nessuno se ne accorge finché non è troppo tardi”, commenta Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360.
Indice degli argomenti
Attacco ransomware: paralisi al catasto in Romania
Quando il governo di Bucarest non ha ceduto al suo ricatto, l’hacker criminale ha cercato di asfaltare il catasto rumeno, cancellando migliaia di dati pubblici, comprese mappe e documenti amministrativi, credenziali di tutti i dipendenti e in generale tutti i documenti catastali.
Un intero settore nel cuore dell’economia rumena è stato in balia delle richieste di un hacker che ha comunque rubato dati, chiesto un riscatto per estorcere denaro e minacciato di cancellare i dati che governano il mercato immobiliare di un Paese dell’Unione europea.
L’ANCPI, l’agenzia nazionale del catasto rumeno, ha confermato l’attacco.
Tuttavia, sebbene si sia verificato l’incubo cyber dei notai, con la paralisi e sospensione delle compravendite immobiliari, il blocco dei mutui e l’impossibilità da parte degli studi notarili di effettuare l’accesso agli atti di proprietà, è stata sventata la cancellazione dei dati di cui si vantava nel dark web l’hacker.
Ecco cosa è successo veramente e come proteggersi.
I dettagli
Una prima ricostruzione della vicenda parlava di un tentativo di estorsione fallito seguito dalla cancellazione del registro fondiario completo della Romania.
Tuttavia dall’indagine ufficiale che il cyber criminale non avrebbe sfruttato credenziali di accesso valide per effettuare l’ingresso nella rete dell’ANCPI, rubare dati e codice sorgenti. Non c’è stata alcuna cancellazione dei database.
Secondo l’autorità cibernetica DNSC, è invece confermato l’attacco ransomware contro il catasto in Romania, con cifratura e parziale cancellazione del sistema di virtualizzazione che ospita le applicazioni dell’agenzia.
L’attacco dunque non ha colpito la banca dati con la lista degli immobili e i reali diritti. Ma ha comunque bloccato l’infastruttura per consultare l’elenco delle case e i diritti reali, da usare negli atti amministrativi. Il database è dunque integro ma in tilt.
“L’industria del ransomware si basa sulla fiducia dei suoi partecipanti oltre che sugli incentivi previsti e, considerare i tentativi di riscatto come un semplice attacco, porta a implementare difese incomplete”, spiega Samuele Zaniboni, Manager of Sales Engineering di ESET Italia: “Non si può prevedere quale gruppo colpirà, quando o attraverso quale vettore, ma si può mantenere aggiornata una mappa di dove si stanno muovendo gli attori attivi e capire se alcune di quelle traiettorie possano incrociare la nostra organizzazione”.
Backup cifrati e tutte le best practice anti ransomware devono sempre essere messe in pratica dalle organizzazioni.
Come mitigare il rischio
Essendo un attacco di tipo ransomware, come diffuso da ANCPI, “la natura di questo tipo di attacco prevede l’applicazione della crittografia sui file che riesce a contattare rendendoli quindi inutilizzabili”, spiega Dario Fadda.
Quindi “è quindi plausibile che il ransomware abbia agito sui file di sistema che fanno ‘girare’ eventuali database e non all’interno del database stesso per la natura stessa del tipo di software malevolo. Situazione a questo presumibilmente ripristinata post-applicazione di backup. Tutto ciò non cambia la gravità della situazione, perché, visto che i criminali hanno effettuato un’esfiltrazione prima di applicare tale crittografia, significa che sono stati all’interno del sistema per un tempo prolungato senza che nessuno se ne sia accorto.
Sintomo di segmentazione di rete insufficiente e privilegi eccessivi su credenziali amministrative“, conclude Fadda.
Come proteggersi
Occorre infatti eseguire regolari backup dei dati cruciali, conservandoli offline o su cloud protetti, ma soprattutto verificandone la funzionalità su base periodic.
È inoltre fondamentale adottare soluzioni di sicurezza avanzate come antivirus, firewall, sistemi EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response), oltre ad implrementare l’autenticazione multifattoriale.
La formazione continua del personale sulla cyber security permette il riconoscimento tempestivo di tentativi di phishing ed altre minacce.
Altre contromisure per proteggersi comprendono la segmentazione della rete in modo da contenere la diffusione di eventuali infezioni, l’adozione di controlli di accesso fondati sul principio del minimo privilegio, e la pianificazione della risposta agli incidenti con procedure chiare in caso di attacco.
Infine, servono valutazioni della sicurezza e regolari test di penetrazione per individuare e risolvere le vulnerabilità prima che gli attaccanti le sfruttino per accedere ai sistemi.
“Quando un’infrastruttura critica si blocca, il danno non è solo informatico: si fermano servizi essenziali, transazioni economiche e fiducia dei cittadini. Continuare a parlare di attacchi ‘imprevedibili’ serve solo a nascondere carenze di governance, gestione delle vulnerabilità e controllo degli accessi. La vera notizia non è che un ransomware ha colpito, ma che ha trovato la porta aperta”, ricorda Sandro Sana.
Partecipa alla community