Il gruppo ransomware Booba Project è un'operazione di estorsione a scopo di lucro che elenca le vittime su un sito di leak e minaccia di pubblicare le informazioni rubate a meno che non venga pagato un riscatto. Le informazioni pubbliche sul gruppo sono limitate, ma il quadro è abbastanza chiaro da essere utile: i suoi obiettivi segnalati sono concentrati negli Stati Uniti, con ulteriori vittime identificate altrove, tra cui un'azienda in Svizzera.

Questo articolo spiega ciò che è noto, come funziona il modello di estorsione e cosa possono fare le persone comuni e le piccole imprese per ridurre i danni se i loro dati finiscono nelle mani sbagliate.

Chi prende di mira il Booba Project

Secondo il profilo del gruppo pubblicato dalla piattaforma di threat intelligence Mallory, le vittime segnalate del Booba Project sono concentrate negli Stati Uniti. Altre vittime sono state identificate al di fuori del Paese, il che dimostra che il gruppo non è strettamente limitato a un solo mercato.

Il materiale di partenza non fornisce una ripartizione dettagliata dei settori, del numero di vittime o dei metodi tecnici utilizzati dal gruppo per penetrare nei sistemi, e sarebbe un errore colmare queste lacune con supposizioni. Ciò che si può affermare è che il gruppo rientra in un modello familiare: è motivato dal denaro, non dalla politica, e sceglie organizzazioni che detengono dati sufficientemente preziosi da esercitare pressione affinché paghino.

Per i lettori, il punto pratico è che la posizione geografica non rende un'organizzazione al sicuro. Un gruppo con un focus prevalentemente statunitense può comunque raggiungere un'azienda in Europa, come mostra il caso svizzero qui sotto.

Come funziona il modello di estorsione basato sul sito di leak

Il Booba Project segue quello che viene comunemente chiamato doppia estorsione. Invece di limitarsi a bloccare i sistemi, gli operatori rubano anche i dati e poi esercitano pressione in due modi:

  • Pressione operativa: se i sistemi vengono crittografati, la vittima potrebbe non essere in grado di lavorare normalmente.
  • Pressione all'esposizione: il gruppo pubblica il nome della vittima su un sito di leak e minaccia di rilasciare i file rubati a meno che non venga pagato un riscatto.

Il sito di leak è lo strumento chiave. Un elenco pubblico funziona sia come minaccia che come scadenza. Comunica alla vittima, ai suoi clienti e alla stampa che si è verificato un incidente, ancora prima che qualsiasi file venga rilasciato. Ecco perché il ripristino dai backup, pur essendo essenziale, non risolve completamente il problema. I backup possono riportare i sistemi online, ma non possono annullare il furto dei dati.

Anche l'elenco stesso è solo un'affermazione. Le voci sui siti di leak sono inserite da criminali e le quantità di dati che dichiarano di detenere non sono verificate in modo indipendente per impostazione predefinita. Trattatele come segnali da investigare, non come prove.

Cosa dimostra la rivendicazione su Zynex riguardo all'attività del gruppo

La portata del gruppo oltre gli Stati Uniti è illustrata dalla sua rivendicazione nei confronti di Zynex, un'azienda con sede in Svizzera. Come riportato nel nostro articolo sulla rivendicazione del gruppo ransomware Booba nei confronti dell'azienda svizzera Zynex, il gruppo afferma di aver rubato circa 1,4 GB di dati.

Questa cifra è un'asserzione del gruppo stesso. È un esempio utile di come queste rivendicazioni appaiono tipicamente: una vittima nominata, un volume dichiarato di dati rubati e una minaccia di pubblicarli.

Il caso solleva anche questioni legali per le aziende che operano in Svizzera. Dal 1° settembre 2023, le imprese del Paese operano secondo la Legge federale riveduta sulla protezione dei dati. La nostra guida sulla conformità alla Legge svizzera sulla protezione dei dati dal 2023 copre il quadro normativo ed è un buon punto di partenza per comprendere quali obblighi possono derivare da un furto di dati.

Cosa significa per te

La maggior parte delle persone non avrà mai a che fare direttamente con un gruppo ransomware. Lo scenario più probabile è che un'azienda con cui si hanno rapporti commerciali, come un fornitore di servizi, un fornitore o un datore di lavoro, sia elencata su un sito di leak e che le proprie informazioni siano tra i file rubati.

Ciò significa che la tua esposizione dipende spesso da decisioni prese da altri. Non puoi fermare la violazione, ma puoi limitare l'uso che si può fare di un file rubato.

Misure che consumatori e piccole imprese possono adottare per limitare l'esposizione

Per gli individui:

  • Usa una password unica per ogni account, memorizzata in un gestore di password, in modo che una credenziale compromessa non sblocchi le altre.
  • Attiva l'autenticazione a più fattori ovunque sia disponibile, preferibilmente con un'app di autenticazione o una chiave di sicurezza.
  • Sii vigile nei confronti del phishing che fa riferimento a una violazione reale. I criminali spesso usano le notizie di un incidente per rendere credibili i messaggi truffaldini.
  • Considera un blocco del credito se sono stati coinvolti identificatori sensibili come i numeri di identificazione nazionale, e monitora gli estratti conto per attività insolite.

Per le piccole imprese:

  • Mantieni backup offline o immutabili e testane il ripristino, in modo che la sola crittografia non possa bloccare le operazioni.
  • Raccogli e conserva solo i dati di cui hai bisogno. I dati che non detieni più non possono essere rubati.
  • Limita chi può accedere ai file sensibili e applica tempestivamente gli aggiornamenti software.
  • Prepara un piano di risposta agli incidenti prima di averne bisogno, includendo chi chiamare, come notificare i clienti e quali obblighi di segnalazione legale si applicano nella tua giurisdizione.
  • Segmenta le reti in modo che un singolo dispositivo compromesso non esponga tutto.

Se sei elencato su un sito di leak, coinvolgi rapidamente un consulente legale e i responder agli incidenti. Pagare non garantisce che i dati vengano cancellati e potrebbe finanziare ulteriori attacchi.

Punti chiave

Il gruppo ransomware Booba Project è un promemoria del fatto che l'estorsione moderna riguarda tanto i dati rubati quanto i sistemi bloccati. Il suo focus segnalato sulle organizzazioni statunitensi, più almeno una vittima svizzera, dimostra che la geografia offre poca protezione.

Password robuste e uniche, autenticazione a più fattori, conservazione minima dei dati e backup testati rimangono le difese più efficaci. Per vedere come appare in pratica una rivendicazione del Booba Project, leggi il nostro articolo sulla rivendicazione Zynex, e per l'aspetto legale di una violazione, consulta la nostra guida alla conformità svizzera in materia di protezione dei dati.