Ransom Approved: 5 società pubbliche che hanno pagato gli aggressori informatici

Un numero crescente di organizzazioni sta subendo un attacco ransomware. Secondo Sophos, 59% delle organizzazioni ne ha subito uno nel 2024 e la maggior parte di esse (70%) ha comportato la crittografia dei dati.

Non solo il numero di attacchi ransomware, ma anche l’importo dei pagamenti è in aumento. Il pagamento medio di ransomware era inferiore a $200k nel 2023, ma è salito del 650% a $1.5 million in circa un anno, secondo i dati di IBM.

Si prevede che questi attacchi costeranno $275 billion in danni globali annuali entro il 2031. Quindi, cosa sono gli attacchi ransomware?

Il ransomware è un tipo di malware, software dannoso progettato per bloccare l’accesso di un’organizzazione al proprio sistema o per crittografare i suoi dati. 

Per fare ciò, gli aggressori infettano un sistema con un virus, che usano per inviare email di phishing contenenti un link dannoso o per rubare le credenziali di accesso di un dipendente, ottenendo così un accesso non autorizzato alla rete aziendale. 

In cambio delle chiavi di decrittazione o del ripristino dell’accesso al sistema, i cybercriminali chiedono un riscatto alle vittime. Le organizzazioni si trovano in una situazione difficile in cui pagare il riscatto sembra il modo più semplice ed economico per riottenere l’accesso. 

Alcune varianti di ransomware hanno aggiunto funzionalità come il furto di dati, fornendo un ulteriore incentivo a pagare il riscatto. Tuttavia, in alcuni casi di alto profilo, pagare il riscatto potrebbe essere l’opzione meno dannosa, nonostante i rischi.

Aziende che hanno pagato il riscatto per proteggere i propri clienti

Sebbene acconsentire alle richieste degli aggressori e pagare il riscatto non sia il modo ideale per affrontare i crimini informatici, poiché non garantisce il ritorno sicuro dei dati rubati né il ripristino delle operazioni dell’entità, e inoltre incoraggia ulteriori attacchi informatici, a volte non c’è altra scelta se non proteggere l’azienda e i clienti.

Con questo, diamo ora un’occhiata ad alcuni dei casi di cybercrime più eclatanti in cui le aziende hanno pagato il riscatto e a tutto ciò che è accaduto successivamente.

1. CNA Financial Corp

Una delle più grandi compagnie assicurative negli Stati Uniti, CNA Financial Corp., è stata vittima di un attacco ransomware nel marzo 2021. Ha pagato un riscatto di $40 million in Bitcoin (BTC), il più grande pagamento di ransomware divulgato di sempre, per riacquistare il controllo dopo essere stata bloccata fuori dai propri sistemi per due settimane.

L’attacco è stato effettuato da un gruppo di cybercriminali chiamato Phoenix, che inizialmente ha richiesto un riscatto di 999 BTC (circa $55 million all’epoca) prima di aumentarlo a 1099 BTC, affermando:

“Tempo sprecato. Il costo è aumentato.”

Gli aggressori hanno affermato che i dati in loro possesso erano importanti e che “avrebbero avuto un forte impatto se divulgati.” Il riscatto è stato richiesto in cambio del non divulgare pubblicamente il furto, restituire i dati, cancellare le copie dei dati rubati e ripristinare tutto.

Ma come è avvenuta esattamente la violazione? È stata causata da una piccola lacuna nella sicurezza che ha portato a un incidente così grave. Gli aggressori hanno convinto un singolo dipendente di CNA ad accettare un falso aggiornamento del browser. Hanno poi agito rapidamente per disabilitare il sistema, e l’attacco non è stato rilevato immediatamente. 

CNA ha impiegato un paio di settimane per scoprire di essere stata violata. Durante questo periodo, gli aggressori hanno rubato i dati dei clienti e hanno bloccato CNA dalla propria rete.

L’azienda non ha fornito alcun aggiornamento, fino a una settimana dopo l’attacco. Ha poi pubblicato un aggiornamento spiegando che l’attacco era stato contenuto e che stavano lavorando per riprendere le normali operazioni aziendali. Due settimane dopo, è stato comunicato che erano stati distribuiti strumenti di rilevamento e monitoraggio degli endpoint come parte del processo di ripristino.

Due mesi dopo l’attacco, CNA ha pubblicato il suo rapporto sull’incidente, in cui ha osservato che non si trattava di un attacco mirato. E al rilevare il ransomware, l’azienda ha disconnesso i propri sistemi dalla rete per impedire la diffusione della minaccia.

Alcuni mesi dopo, l’assicuratore ha annunciato che l’indagine era stata conclusa, rivelando che l’attore della minaccia aveva copiato le informazioni prima di distribuire il ransomware, ma che le aveva recuperate rapidamente e non aveva “motivo di sospettare che le informazioni siano state o saranno usate in modo improprio”.

La società di assicurazioni con sede a Chicago ha anche consultato il governo, inclusi FBI e Office of Foreign Assets Control (OFAC), riguardo all’attacco. In una dichiarazione ha affermato: “CNA ha seguito tutte le leggi, i regolamenti e le linee guida pubblicate, inclusa la guida sul ransomware del 2020 di OFAC, nella gestione di questa questione”, ma non ha commentato il riscatto.

Secondo queste linee guida, l’agenzia potrebbe imporre sanzioni civili alle persone statunitensi che effettuano pagamenti a entità proibite.

L’indagine dell’azienda ha rivelato che un gruppo di minaccia chiamato Phoenix ha utilizzato il ransomware Phoenix Cryptolocker per attaccare la sua rete. All’epoca, il gruppo non era soggetto a sanzioni statunitensi.

CNA è una società con una capitalizzazione di mercato di $13 billion, le cui azioni, al momento della stesura, sono quotate a $48.16, in calo dello 0.43% dall’inizio dell’anno (YTD) ma in rialzo del 32.27% negli ultimi due anni. Con ciò, l’utile per azione (EPS) degli ultimi dodici mesi (TTM) è 3.28, il P/E (TTM) è 14.67 e il ROE (TTM) è 8.98%. Gli azionisti di CNA godono anche di un discreto rendimento del dividendo del 3.82%.

I suoi recenti risultati trimestrali mostrano un utile netto di $274 million e un reddito core di $281 million.

2. Caesars Entertainment

La società di casinò e intrattenimento ha pagato $15 million in riscatto a un gruppo di cybercriminali chiamato Scattered Spider, lo stesso attore di minaccia che ha messo fuori uso il sistema informatico di MGM pochi giorni dopo aver ricevuto il pagamento del riscatto da Caesars Entertainment (CZR ). Gli aggressori hanno anche richiesto un riscatto da MGM, ma quest’ultimo non ha pagato.

Nel caso di Caesars, come riportato in una comunicazione alla Securities and Exchange Commission (SEC) degli Stati Uniti, gli aggressori hanno richiesto un riscatto di $30 million, ma la società ha accettato di pagare solo la metà, coperta in parte dalle polizze di cyber assicurazione dell’azienda. La società non prevedeva che il pagamento o le conseguenze avrebbero avuto un effetto materiale sul suo risultato finale.

L’attacco è avvenuto a metà agosto 2023 ed è stato eseguito da Scattered Spider, noto anche come UNC3944 o Roasted 0ktapus. Il gruppo, composto da giovani hacker con sede negli Stati Uniti e nel Regno Unito esperti di ingegneria sociale, è stato collegato ad attacchi contro altre aziende, tra cui Cloudflare, Twilio e Okta.

Per colpire Caesars, gli hacker hanno prima violato un fornitore IT esterno. Per fare ciò, gli aggressori hanno impersonato un dipendente di Caesars e hanno convinto il fornitore a fornire credenziali di accesso a Okta, il provider di gestione degli accessi di Caesars.

Ciò ha fornito ai cybercriminali accesso non autorizzato alla rete del gigante alberghiero e casinò. Hanno poi rubato i dati dei membri del programma fedeltà di Caesars, che includevano patenti di guida e numeri di sicurezza sociale, prima di distribuire il ransomware BlackCat/ALPHV. Non c’erano prove che gli aggressori avessero avuto accesso a PIN, password, conti bancari o dati di carte di pagamento, ha dichiarato la società.

Nel frattempo Reuters ha riportato che il gruppo di hacking Scattered Spider ha dichiarato di aver prelevato sei terabyte di dati dai sistemi di Caesars e MGM.

“Abbiamo preso provvedimenti per garantire che i dati rubati vengano cancellati dall’attore non autorizzato, sebbene non possiamo garantire questo risultato.”

– Caesars ha dichiarato nella comunicazione

Mentre la società non ha divulgato quanti clienti fossero coinvolti, la comunicazione elencava poco meno di 42,000 persone colpite. All’epoca, Bloomberg ha riferito che Caesars ha pagato il riscatto dopo che il gruppo di minaccia lo aveva hackerato e minacciato di divulgare i dati dell’azienda.

Entro la fine di settembre, la società aveva ripristinato le normali operazioni. Tuttavia, nel periodo successivo, Caesars ha subito danni finanziari e reputazionali, oltre a numerose cause collettive che accusano l’azienda di negligenza e di arricchimento ingiusto per non aver protetto i dati personali dei propri ospiti.

Con una capitalizzazione di mercato di poco più di $6 billion, le azioni CZR sono attualmente quotate a $29.41, in calo del 12% quest’anno finora. I prezzi delle sue azioni sono anche molto lontani dal picco del 2021 di circa $119. Il suo EPS (TTM) è -1.10 e il P/E (TTM) è -26.80.

Per quanto riguarda i dati finanziari dell’azienda, i ricavi netti GAAP per il Q1 2025 sono stati di $2.8 billion e l’EBITDA rettificato è cresciuto del 4% su base annua a $43 million “spinto da guadagni significativi” nel suo segmento Digital.

3. Blackbaud Inc.

Nel 2020, i cybercriminali hanno infiltrato i server di Blackbaud, una società che fornisce software per organizzazioni non profit e istituzioni educative, compromettendo i dati di oltre 13,000 organizzazioni. L’azienda con sede in South Carolina ha pagato un riscatto di $235,000 in BTC agli hacker con la promessa di cancellare i dati personali dei clienti.

L’attacco informatico si è verificato a febbraio di quell’anno, ma non è stato scoperto fino a pochi mesi dopo, a maggio. In quel periodo, le organizzazioni colpite stavano già affrontando le interruzioni causate dalla pandemia di COVID-19.

I cybercriminali hanno preso di mira i server di Blackbaud per accedere al sistema dell’azienda. Poiché Blackbaud non era a conoscenza della violazione, gli aggressori sono stati in grado di operare indisturbati per mesi, durante i quali hanno crittografato set di dati ed estratto una parte di essi.

Quando il fornitore di servizi di gestione delle relazioni con i clienti (CRM) ha finalmente scoperto di essere stato violato, avvenuto mentre Blackbaud effettuava controlli di sicurezza di routine, ha implementato misure per prevenire ulteriori danni.

A luglio, l’azienda ha rilasciato una comunicazione pubblica riguardo al subire un attacco ransomware. Blackbaud ha annunciato che le organizzazioni educative e del terzo settore potrebbero aver avuto i loro dati compromessi, il che, naturalmente, ha suscitato scalpore nelle comunità colpite e ha sollevato preoccupazioni sulla sicurezza delle informazioni sensibili dei donatori.

L’azienda ha impedito ai criminali di crittografare completamente i file e di bloccare l’accesso al sistema, ma avevano già rimosso un file di backup contenente informazioni personali.

Blackbaud ha assicurato che i dettagli di conti bancari o carte di pagamento non fossero stati colpiti, ma che molte informazioni, come nomi, indirizzi, contatti, numeri di sicurezza sociale e patrimonio stimato, tra gli altri, fossero effettivamente coinvolti nella violazione dei dati.

L’azienda ha anche ammesso di aver pagato un riscatto per recuperare i dati e proteggere gli interessi dei propri clienti.

Dopo l’attacco, la Federal Trade Commission (FTC) ha avviato un’indagine e ha ritenuto che fosse stata causata da “pratiche di sicurezza e conservazione dei dati scadenti” di Blackbaud.

Secondo la denuncia della FTC, l’azienda non ha implementato le pratiche di sicurezza più basilari, non ha seguito le proprie politiche di conservazione dei dati e ha permesso ai clienti di archiviare dati critici come conti bancari in campi non crittografati. L’agenzia ha anche affermato che Blackbaud ha significativamente falsificato l’entità e la gravità dell’incidente.

Nel 2024, la FTC e Blackbaud hanno raggiunto un accordo, che non prevedeva una sanzione finanziaria ma richiedeva all’azienda di cancellare i dati non più necessari, sviluppare un programma completo di sicurezza delle informazioni e notificare alla FTC eventuali future violazioni dei dati.

Il regolamento di Blackbaud con la SEC, tuttavia, prevedeva una multa di $3 million per aver fornito informazioni fuorvianti sulla violazione. L’azienda ha anche raggiunto un accordo per $49.5 million con 50 procuratori generali statali riguardo a violazioni HIPAA.

Per quanto riguarda le performance di mercato di Blackbaud, le sue azioni sono attualmente quotate a $63.76, in calo del 13.74% YTD, il che porta la sua capitalizzazione di mercato a $3 billion. Con ciò, il suo EPS (TTM) è -5.83 e il P/E (TTM) è -10.94.

Nel Q1 2025, l’azienda ha registrato una crescita organica dei ricavi del 5.8%, con un fatturato di $271 million. Blackbaud sta inoltre investendo nell’innovazione, in particolare nell’IA, per aumentare la produttività interna e le operazioni dei clienti.

4. UnitedHealth Group

Il gigante delle assicurazioni sanitarie, UnitedHealth Group Incorporated (UNH ), ha vissuto un periodo difficile negli ultimi anno e mezzo. Tutto è iniziato a febbraio 2024 quando la sua controllata, Change Healthcare, ha subito un attacco informatico. 

UnitedHealth Group opera attraverso due segmenti: UnitedHealthcare, che si concentra sull’assicurazione sanitaria, e Optum, che fornisce servizi tecnologici, servizi sanitari diretti e servizi di assistenza farmaceutica tramite Optum Insight, Optum Health e Optum Rx.

Nel 2022, UnitedHealth Group ha acquisito la piattaforma Change Healthcare e l’ha integrata in Optum Insight. L’azienda elabora fino a 15 miliardi di richieste di rimborso medico all’anno, circa il 40% di tutte le richieste, quindi si può immaginare il disagio che un attacco a Change Healthcare può causare.

A febbraio, il ransomware ha infettato i sistemi di Change Healthcare, rendendoli inaccessibili e provocando il caos nel sistema sanitario statunitense. Solo diversi mesi dopo, a novembre, l’azienda è riuscita a riprendere le operazioni complete.

Per quanto riguarda lo svolgimento dei fatti, l’allora CEO, Andrew Witty, ha dichiarato al Congresso che l’attacco è iniziato il 12 febbraio. Gli aggressori hanno utilizzato credenziali compromesse per accedere al portale Citrix di Change Healthcare, usato per connessioni desktop remote e privo di autenticazione a due fattori (2FA). Un piccolo errore che costerà a UNH miliardi.

Da lì, gli aggressori hanno iniziato a raccogliere dati e, diversi giorni dopo, hanno distribuito il ransomware, avviando la crittografia dei sistemi dell’azienda. In risposta, UnitedHealth ha disconnesso i data center di Change Healthcare dalla rete per impedire che l’attacco ransomware si diffondesse ad altri sistemi e a entità esterne.

Per quanto riguarda gli aggressori, la gang cybercriminale BlackCat/ALPHV ha assunto la responsabilità, affermando di aver esfiltrato 6 TB di dati riservati. I dati rubati comprendevano cartelle cliniche, informazioni personali e documenti finanziari. UnitedHealth Group ha confermato pubblicamente che circa 190,000,000 di individui sono stati colpiti da questa violazione.

Nel marzo 2024, l’azienda ha pagato un riscatto di $22 million, ma il gruppo ransomware BlackCat, secondo quanto riferito, non ha pagato l’affiliato che ha condotto l’attacco, il quale ha poi collaborato con un altro gruppo ransomware, RansomHub, che ha tentato di estorcere ulteriori fondi a UnitedHealth. Non è ancora noto se UnitedHealth abbia pagato anche una seconda volta.

L’incidente, come riportato da UnitedHealth Group a gennaio 2025, ha provocato una perdita annua totale di $3.09 billion. 

Mentre l’azienda continua a gestire le conseguenze del più grande attacco informatico nella storia della sanità, le azioni UNH non hanno subito un impatto significativo, poiché il titolo ha raggiunto un massimo storico di $625 per azione a novembre 2024 e una capitalizzazione di mercato di $575 billion.

Ma ora, sei mesi dopo, tutto sta crollando. Il prezzo delle azioni di UnitedHealth, con una capitalizzazione di mercato di $292 billion, è diminuito del 36.43% YTD. Attualmente è quotato a $321.58, un calo del 49% rispetto al suo massimo storico.

Oltre a un impatto maggiore del previsto dall’attacco informatico, l’azienda ha dovuto affrontare la perdita di leadership, con la morte del CEO di UnitedHealthcare, Brian Thompson, durante l’investor day a New York City, il mancato raggiungimento degli utili e il Dipartimento di Giustizia che sta conducendo un’indagine penale sulle pratiche Medicare Advantage di UHG.

Per esaminare ora la redditività e l’efficienza dell’azienda, ha un EPS (TTM) di 23.89, un P/E (TTM) di 13.46 e un ROE (TTM) del 24.33%, mentre il rendimento del dividendo è del 2.61%. Per il Q1 2025, i suoi ricavi sono cresciuti a $109.6 billion e i flussi di cassa operativi sono stati di $5.5 billion.

5. AT&T

Il principale fornitore globale di servizi di telecomunicazioni e tecnologia ha subito due importanti violazioni dei dati nel 2024.

Il primo è avvenuto a marzo, colpendo tra 50 e 70 milioni dei suoi clienti attuali ed ex. I rapporti sulla circolazione dei dati dell’azienda sul dark web sono emersi a metà marzo e poi AT&T (T ) ha impiegato un paio di settimane per confermare che le informazioni appartenevano effettivamente ai suoi clienti.

Tra le informazioni compromesse vi erano nome completo dei clienti, data di nascita, email, numero di telefono, indirizzo postale, numero di sicurezza sociale e numero di conto e codice di accesso AT&T. L’azienda ha detto quanto segue alle persone interessate:

“Per quanto ci risulta, le informazioni finanziarie personali e la cronologia delle chiamate non erano incluse.” 

Si ritiene che i dati siano stati diffusi online da alcuni anni, ma la loro origine è sconosciuta, e AT&T nega che provengano dai propri sistemi.

Poi, ad aprile, è stata vittima di una violazione che ha compromesso quasi tutti i clienti della sua rete fissa, cellulare e wireless. Alcuni mesi dopo, a luglio, AT&T ha divulgato pubblicamente la violazione.

Questa violazione è stata collegata a un hacker americano, membro del gruppo ShinyHunters, che ha richiesto un riscatto di $1 million ma ha accettato molto meno. L’azienda ha pagato un riscatto di $370,000 in Bitcoin a maggio per impedire la diffusione dei dati. L’attaccante ha fornito all’azienda un video che dimostra la cancellazione dei dati.

In questo attacco, sono stati sottratti i registri delle interazioni di chiamate e messaggi dei clienti del 2 gennaio 2023 e tra il 1 maggio 2022 e il 31 ottobre 2022.

Questa volta, i dati provengono dallo ‘spazio di lavoro’ dell’azienda su una piattaforma cloud di terze parti. 

Sebbene il contenuto stesso non sia stato compromesso, i record violati possono identificare altri numeri di telefono con cui i clienti coinvolti hanno interagito, ha spiegato l’azienda.

AT&T ha informato circa 110 milioni di clienti dell’incidente. 

Al momento della stesura, le azioni della società con una capitalizzazione di mercato di $200 billion sono quotate a $27.78, in rialzo del 22% YTD. Il suo EPS (TTM) è 1.63, il P/E (TTM) è 17.04 e il ROE (TTM) è 11.28%. Il rendimento del dividendo offerto è un attraente 4%.

Dal punto di vista finanziario, il suo fatturato nel Q1 2025 è stato di $30.6 billion, l’utile netto è stato di $4.7 billion e il flusso di cassa libero è stato di $3.1 billion.

Come abbiamo visto, gli attacchi ransomware colpiscono aziende di tutti i settori. E sebbene pagare il riscatto possa aiutare a proteggere l’azienda e i suoi clienti, non è sempre così. In realtà rischia di incentivare comportamenti criminali, senza contare i danni finanziari e reputazionali che comporta per l’azienda.

Ciò che le aziende devono fare è adottare misure di sicurezza proattive per prevenire le violazioni fin dall’inizio. Ciò include effettuare regolarmente valutazioni di sicurezza, monitorare continuamente le potenziali minacce, mantenere i sistemi aggiornati, avere backup dei dati e proteggerli, implementare una crittografia dei dati robusta, fornire una formazione adeguata ai dipendenti e mantenere una prontezza efficace nella risposta agli incidenti.

Alla fine, la vera difesa contro il ransomware non è la negoziazione ma la preparazione, quindi è meglio investire oggi nella resilienza della cybersicurezza!

Clicca qui per un elenco delle migliori azioni di cybersicurezza.