Come può la statistica prevedere il prossimo attacco ransomware?

I ransomware sono come virus informatici che bloccano i dati e chiedono un riscatto. Negli ultimi anni, gli attacchi sono aumentati, colpendo aziende, ospedali e persino enti governativi. La maggior parte delle difese è ancora reattiva: si interviene solo dopo che il danno è stato fatto. Un gruppo di ricercatori ha provato a cambiare rotta, usando l'analisi delle serie temporali, una tecnica che studia come i dati cambiano nel tempo. Hanno raccolto 1.880 incidenti di ransomware e li hanno scomposti in tre parti: la tendenza generale, i picchi stagionali (ad esempio, più attacchi in certi mesi) e le fluttuazioni casuali. Con un modello statistico, hanno poi proiettato questi pattern nel futuro. I risultati mostrano che è possibile individuare segnali di allarme, soprattutto per settori come la sanità, dove la tendenza è in crescita, e per le strutture governative, dove le previsioni sono più affidabili. Questo tipo di previsione può dare alle organizzazioni un vantaggio: sapere quando è più probabile un attacco permette di rafforzare le difese in anticipo, riducendo i danni. In sostanza, integrare la previsione delle serie temporali nelle strategie di sicurezza informatica potrebbe trasformare la risposta da reattiva a proattiva, aprendo la strada a nuovi strumenti di difesa contro le minacce digitali.

L'analisi delle serie temporali si basa su modelli matematici come ARIMA (AutoRegressive Integrated Moving Average) o Prophet di Facebook, capaci di catturare autocorrelazioni e stagionalità nei dati. Nel caso dei ransomware, la componente trend riflette l'aumento complessivo degli attacchi, probabilmente legato a fattori economici e alla crescente sofisticazione dei gruppi criminali. La stagionalità può derivare da cicli di budget aziendali o da periodi di vulnerabilità, come l'aggiornamento di software critici. Il residuo, invece, contiene rumore e eventi imprevedibili, come attacchi mirati da gruppi emergenti. Per valutare le performance del modello, si usano metriche come MAE (Mean Absolute Error) e RMSE (Root Mean Square Error), confrontando le previsioni con i dati reali di test. Un aspetto cruciale è la gestione dei dati mancanti e la normalizzazione, poiché gli incidenti sono spesso registrati in formati eterogenei. Inoltre, l'integrazione di variabili esogene—ad esempio, notizie su vulnerabilità zero‑day o cambiamenti normativi—può migliorare la capacità predittiva. Infine, è importante considerare l'interpretabilità del modello: le autorità devono capire quali fattori spingono le previsioni per poter agire in modo mirato, ad esempio rafforzando la sicurezza nei settori più a rischio durante i picchi stagionali identificati.