Non sia l'Assicurazione a proteggere dai ransomware

Se una azienda viene colpita da ransomware ha due sole scelte di fronte: dimenticare i dati andati perduti (sperando che la loro divulgazione non possa essere di danno ulteriore alle attività del gruppo), oppure pagare per recuperarli. La terza via è quella delle assicurazioni, che in alcuni casi coprono questo tipo di rischio congenito alle attività online e consentono così di pagare il riscatto contando sulla partecipazione attiva della propria compagnia assicurativa. Ma quest’ultima strada è molto probabilmente un vicolo cieco ed entro breve l’opzione non sarà più percorribile.

Ransomware, no alle Assicurazioni

La prima mossa è quella di AXA: il gruppo sta per escludere questo tipo di rimborsi in Francia, dando il via a quella che potrebbe essere una reazione a catena anche in altri Paesi e anche in altre compagnie assicurative. L’esclusione dei rimborsi per danni da ransomware sarebbe una richiesta proveniente direttamente dalle istituzioni, ove la gravità del problema è stata pesata nell’ordine di vari miliardi di euro nel 2020 e che ora rischia di farsi sempre più preoccupante.

Le istituzioni sembrano voler fare qualcosa di simile al sequestro dei beni in caso di sequestro di persona: evitare che la parte lesa possa avere la possibilità di pagare, così che nel medio periodo si possano comprimere gli interessi dei malintenzionati e le loro possibilità di monetizzazione. Le istituzioni, insomma, vogliono evitare che la soluzione contro i ransomware possano essere le Assicurazioni: la soluzione deve essere trovata nella tecnologia e nei protocolli di sicurezza, non certo in sistemi economici di rimborso che portano le aziende a tutele lascive ed a nuovi flussi di denaro verso le ignote fonti dell’attacco (spesso e volentieri di provenienza orientale).

Le iniziative AXA erano finalizzate a fornire alle aziende una protezione contro un rischio concreto e quotidiano, assolvendo quindi al compito proprio delle assicurazioni: fornire garanzie e tutela al cospetto di un rischio. Compito delle istituzioni, tuttavia, è regolamentare questo tipo di attività, cercando di veicolare il mercato verso una direzione virtuosa che in prospettiva eviti ulteriori emorragie di denaro dal PIL verso il malaffare. Gli investimenti vadano nella cybersicurezza, insomma, invece che nelle casse delle compagnie assicurative: solo con nuove tutele e con migliori protocolli di sicurezza e di backup sarà possibile gestire le crisi derivanti da attacchi ransomware.