Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
L’Australia sta lanciando una nuova fase nella lotta alla criminalità informatica, imponendo alle grandi aziende di segnalare formalmente al governo qualsiasi pagamento di riscatto agli operatori di ransomware. L’obbligo è sancito dal Cyber Security Bill 2024 entrato in vigore il 30 maggio.
Le norme si applicano a tutte le aziende con un fatturato annuo superiore a 3 milioni di dollari australiani, ovvero circa 1,92 milioni di dollari USA. Hanno 72 ore di tempo per informare l’Australian Signals Directorate (ASD) di aver trasferito denaro a truffatori. I pagamenti in sé non sono soggetti al divieto, ma le autorità sottolineano che tali azioni sono ufficialmente sconsigliate.
Il rapporto dell’ASD dell’anno scorso elencava solo 121 indagini su tali incidenti, mentre gli attacchi effettivi erano molto più numerosi. Per questo motivo, le autorità contano su nuove segnalazioni.
Una volta entrata in vigore la legge, le aziende avranno esattamente sei mesi per “adattarsi”: durante questo periodo, saranno perseguite solo le violazioni più gravi. Dal 2026, l’obbligo di notifica entrerà in vigore a pieno titolo. La mancata osservanza comporterà una multa di 19.800 dollari australiani, ma questo importo potrebbe aumentare in futuro.
Le organizzazioni saranno ora tenute a fornire non solo il proprio numero aziendale, ma anche i dettagli dell’incidente: l’ora dell’attacco, se le informazioni sono state rubate o crittografate, quali vulnerabilità hanno sfruttato gli aggressori, le perdite stimate, l’importo e la valuta del riscatto.
Le autorità australiane spiegano che la raccolta di questi dati consentirà loro di comprendere meglio quali famiglie di ransomware prendono di mira più spesso le aziende locali e quanto sia diffuso il problema. L’analisi delle statistiche potrebbe influenzare lo sviluppo di future iniziative legislative.
La soglia per la segnalazione obbligatoria è piuttosto elevata: secondo i calcoli del governo, le nuove norme interesseranno meno del 7% delle aziende del Paese. Tuttavia, sono proprio queste aziende a detenere i maggiori volumi di dati personali e a rappresentare il principale interesse per gli aggressori.
Leggi simili sono attualmente in fase di elaborazione in altri paesi. Negli Stati Uniti, l’agenzia CISA sta attualmente lavorando alle norme definitive per la segnalazione dei pagamenti di riscatto. Nel Regno Unito, si prevede di andare ancora oltre: vietare in linea di principio il pagamento di riscatti al settore pubblico, nonché richiedere alle grandi aziende non statali di segnalare tutti i casi di pagamento di riscatto e introdurre una procedura speciale in cui la vittima deve prima ottenere l’approvazione del governo per pagare gli aggressori
