Cos’è il Ransomware-as-a-Service: il cybercrime in franchising

Il ransomware non è più solo un tipo di malware: è diventato un’industria. Il modello Ransomware-as-a-Service (RaaS) ha trasformato gli attacchi informatici in un’attività economica strutturata, con sviluppatori, affiliati, divisioni di supporto tecnico e persino programmi di fidelizzazione. Comprendere questo modello è essenziale per capire perché gli attacchi ransomware continuano ad aumentare e, soprattutto, per difendersi in modo efficace.

Come funziona il modello RaaS

Il Ransomware-as-a-Service replica la logica del Software-as-a-Service legittimo, applicandola al crimine informatico. Un gruppo di sviluppatori crea e mantiene il codice del ransomware, l’infrastruttura di comando e controllo (C2), i portali di pagamento in criptovaluta e gli strumenti di negoziazione con le vittime. Questo pacchetto viene poi reso disponibile ad affiliati che si occupano materialmente di condurre gli attacchi.

Il rapporto tra operatore RaaS e affiliato funziona secondo diversi modelli economici.

• Revenue sharing: l’affiliato conduce l’attacco e incassa il riscatto, trattenendo una percentuale (tipicamente tra il 60% e l’80%) e versando il resto all’operatore. È il modello più diffuso.
• Abbonamento mensile: l’affiliato paga una quota fissa per l’accesso al toolkit, indipendentemente dal numero di attacchi o dai riscatti ottenuti.
• Pagamento una tantum: acquisto della licenza d’uso del ransomware, senza obblighi di revenue sharing.
• Modello ibrido: combinazione di quota fissa e percentuale sui riscatti.

L’affiliato non deve necessariamente possedere competenze tecniche avanzate. Molte piattaforme RaaS forniscono interfacce web intuitive, guide operative dettagliate e assistenza tecnica tramite chat. Alcuni gruppi offrono persino servizi di penetration testing iniziale per identificare le vulnerabilità della vittima designata.

La catena del valore del RaaS

L’ecosistema RaaS si articola in ruoli specializzati che collaborano in una vera e propria catena del valore criminale.

• Sviluppatori: scrivono e aggiornano il codice del ransomware, sviluppano le varianti per eludere le soluzioni di sicurezza, gestiscono l’infrastruttura backend.
• Initial Access Broker (IAB): vendono credenziali rubate, accessi VPN compromessi o sessioni RDP aperte. Sono i fornitori della “porta d’ingresso” che gli affiliati utilizzeranno per penetrare nelle reti delle vittime.
• Affiliati: conducono l’attacco vero e proprio: accesso iniziale, movimento laterale, esfiltrazione dei dati, distribuzione del ransomware e cifratura.
• Negoziatori: gestiscono la comunicazione con la vittima, calibrano la richiesta di riscatto, conducono le trattative per il pagamento.
• Riciclatori: si occupano del riciclaggio dei proventi attraverso mixer di criptovalute, exchange non regolamentati e catene di transazioni progettate per oscurare la tracciabilità.

I principali gruppi RaaS

Nel panorama attuale, diversi gruppi RaaS si sono distinti per capacità tecniche, volume di attacchi e impatto economico. La conoscenza di questi gruppi è utile per comprendere le tendenze e adeguare le strategie difensive.

LockBit

LockBit è stato per anni il gruppo RaaS più prolifico al mondo. Nel febbraio 2024, l’operazione Cronos, coordinata dalla NCA britannica insieme a FBI, Europol e forze di polizia di dieci Paesi, ne ha smantellato l’infrastruttura principale, sequestrando 34 server, chiudendo 14.000 account utilizzati per l’esfiltrazione di dati e congelando 200 conti in criptovaluta. Varianti e imitatori continuano tuttavia a operare. LockBit si distingueva per la velocità di cifratura, un programma affiliati molto aggressivo e la pratica della doppia estorsione: cifratura dei dati e minaccia di pubblicazione delle informazioni esfiltrate.

BlackCat (ALPHV)

BlackCat, noto anche come ALPHV, è stato il primo ransomware di rilievo scritto in Rust, un linguaggio che offre vantaggi in termini di velocità e portabilità cross-platform. Il gruppo ha adottato la tripla estorsione, aggiungendo attacchi DDoS alla cifratura e alla minaccia di pubblicazione dati. Nel marzo 2024, dopo aver incassato un riscatto di circa 22 milioni di dollari dalla compromissione di Change Healthcare, il gruppo ha messo in atto un exit scam: ha simulato un sequestro da parte dell’FBI, ha sottratto i proventi dovuti agli affiliati e ha cessato le operazioni. Diversi affiliati si sono successivamente spostati verso altri gruppi, portando con sé competenze e metodologie operative.

RansomHub

Emerso nel febbraio 2024, RansomHub ha rapidamente attratto affiliati ex-LockBit e ex-BlackCat grazie a condizioni economiche vantaggiose (il 90% del riscatto all’affiliato, contro il 60-80% offerto dalla maggior parte dei concorrenti) e a un codice ransomware tecnicamente avanzato. Nel 2024 e 2025 si è posizionato tra i gruppi più attivi a livello globale, con centinaia di vittime documentate, incluse organizzazioni europee.

Cl0p

Cl0p ha adottato una strategia diversa dalla maggior parte dei gruppi RaaS, concentrandosi sullo sfruttamento di vulnerabilità zero-day in software di trasferimento file. Le campagne principali hanno colpito Accellion FTA (2020-2021), GoAnywhere MFT (gennaio 2023, circa 130 vittime) e MOVEit Transfer (maggio 2023, oltre 900 organizzazioni coinvolte). Invece di cifrare i sistemi, Cl0p esfiltrava massivamente i dati e chiedeva un riscatto per non pubblicarli. Questo approccio ha permesso di colpire centinaia di organizzazioni contemporaneamente attraverso la compromissione di un singolo fornitore di software.

Perché il RaaS rende il ransomware più diffuso

Il modello RaaS ha prodotto un effetto moltiplicatore sugli attacchi ransomware per diverse ragioni strutturali.

• Abbassamento della barriera d’ingresso: non serve saper programmare per condurre un attacco ransomware. Un affiliato con competenze di base in networking e social engineering può utilizzare strumenti pronti all’uso.
• Specializzazione e divisione del lavoro: ogni attore della catena si concentra su ciò che sa fare meglio, aumentando l’efficienza complessiva dell’operazione criminale.
• Resilienza operativa: se un affiliato viene arrestato, l’infrastruttura sopravvive. Se un operatore viene smantellato, gli affiliati migrano verso un altro gruppo. L’ecosistema è progettato per resistere alle azioni di contrasto.
• Innovazione continua: la competizione tra gruppi RaaS per attrarre i migliori affiliati genera un ciclo di innovazione costante: nuove tecniche di evasione, cifratura più veloce, strumenti di negoziazione più sofisticati.

Strategie di difesa contro il RaaS

La difesa contro il RaaS richiede un approccio che consideri l’intera catena di attacco, non solo il momento della cifratura. Quando il ransomware si attiva, l’attaccante è già nella rete da giorni o settimane.

1. Gestione delle vulnerabilità: applicare le patch di sicurezza tempestivamente, in particolare per i sistemi esposti su internet (VPN, RDP, applicazioni web). La maggior parte degli accessi iniziali sfrutta vulnerabilità note e già corrette dal vendor.
2. Autenticazione forte: implementare MFA su tutti gli accessi remoti e sugli account privilegiati. L’acquisto di credenziali da Initial Access Broker è uno dei vettori primari del RaaS.
3. Segmentazione della rete: limitare il movimento laterale segmentando la rete in zone con controlli di accesso granulari. Un attaccante che compromette una postazione non deve poter raggiungere i server critici senza ulteriori barriere.
4. Backup offline e testati: mantenere copie di backup disconnesse dalla rete (air-gapped) e verificarne regolarmente l’integrità e la capacità di ripristino. I gruppi RaaS cercano e cifrano sistematicamente i backup accessibili in rete.
5. Monitoraggio e rilevamento: implementare soluzioni EDR (Endpoint Detection and Response) e SIEM con regole di correlazione specifiche per le TTP (Tattiche, Tecniche e Procedure) dei principali gruppi RaaS.
6. Piano di risposta agli incidenti: disporre di un piano testato che definisca ruoli, responsabilità, canali di comunicazione e procedure di escalation. Il piano deve includere la decisione sul pagamento del riscatto, da prendere prima che l’emergenza si presenti.
7. Threat intelligence: monitorare gli indicatori di compromissione (IoC) pubblicati dai CERT nazionali e internazionali. Il CSIRT Italia pubblica regolarmente bollettini specifici sulle campagne ransomware che colpiscono il territorio nazionale.

Conclusione

Il Ransomware-as-a-Service ha industrializzato il cybercrime, trasformando attacchi che richiedevano competenze tecniche elevate in operazioni accessibili a un numero crescente di criminali. Contrastare questo fenomeno richiede un cambio di prospettiva: non si tratta di difendersi da un singolo attaccante, ma da un ecosistema organizzato e in continua evoluzione. La sicurezza informatica deve rispondere con la stessa logica sistemica, combinando prevenzione tecnica, formazione del personale e capacità di risposta rapida agli incidenti.