Deadlock Ransomware Divulga Dati di Passaporti del Gruppo LT

Un Conto alla Rovescia di 72 Ore Termina con una Fuga di Dati

Un gruppo di ransomware che si fa chiamare Deadlock ha rivendicato la responsabilità della violazione del Gruppo LT e della sua controllata Fortune Tobacco Corp nelle Filippine, sostenendo di aver rubato 14.836 file per un totale di 27 GB prima di pubblicare campioni online. Secondo le notizie sull'incidente, gli aggressori hanno concesso all'azienda una finestra di 72 ore per rispondere alle richieste di estorsione. Quando quella finestra si è chiusa senza pagamento o contatto, il gruppo ha iniziato a pubblicare campioni di dati come prova della violazione e come leva per ulteriore estorsione.

Questo è il classico modus operandi della doppia estorsione che ha definito l'attività dei ransomware per diversi anni: gli aggressori non si limitano a crittografare i sistemi, ma esfiltrano silenziosamente prima i file sensibili, poi minacciano la divulgazione pubblica se non viene pagato un riscatto. La crittografia interrompe le operazioni, ma il furto di dati è spesso la minaccia più dannosa a lungo termine, specialmente quando i file rubati includono documenti di identità personali e registri finanziari legati a individui, non solo a sistemi aziendali.

Cosa Sarebbe Stato Esposto

I campioni divulgati includono apparentemente dati di passaporti contenenti informazioni della Zona a Lettura Ottica (MRZ), la striscia codificata che si trova in fondo alla pagina con la foto del passaporto e che contiene nome, nazionalità, data di nascita, numero di passaporto e data di scadenza di una persona in un formato standardizzato. I dati MRZ sono particolarmente preziosi per i ladri di identità perché sono progettati per essere analizzati meccanicamente e possono essere utilizzati per falsificare o validare documenti di viaggio e incrociare database di identità.

Sempre tra i campioni divulgati c'erano dettagli bancari apparentemente legati a conti PNB (Philippine National Bank) e Holco USD. Combinati con dati di identità a livello di passaporto, questo tipo di informazioni finanziarie offre agli aggressori un quadro più completo di un individuo, aumentando il rischio di phishing mirato, tentativi di furto di account e frodi che vanno ben oltre la vittima aziendale originale.

Per il Gruppo LT e Fortune Tobacco Corp, un conglomerato filippino diversificato con interessi che spaziano dal tabacco alla banca e ad altri settori, una violazione che tocca dati di passaporti e bancari suggerisce che l'esposizione potrebbe estendersi oltre i registri aziendali di routine fino a informazioni personali appartenenti a dipendenti, dirigenti o partner commerciali. Al momento della segnalazione, l'intera portata delle persone coinvolte non era stata confermata in modo indipendente.

Perché Rientra in uno Schema Più Ampio

L'approccio di Deadlock qui rispecchia tattiche viste in tutto il panorama ransomware nel 2026. I gruppi saltano sempre più spesso lunghi periodi di negoziazione a favore di scadenze pubbliche brevi progettate per fare pressione sulle vittime affinché paghino rapidamente prima che subentri il danno reputazionale. Questa è una tattica psicologica deliberata: più breve è la finestra, meno tempo ha un'organizzazione per consultare consulenti legali, notificare le autorità di regolamentazione o coordinare una risposta misurata.

Riflette anche una tendenza in cui gli aggressori stanno diventando più efficienti nel monetizzare i dati rubati anche quando i riscatti non vengono pagati. Alcuni operatori di ransomware hanno iniziato a sperimentare modi per rendere i messaggi di estorsione più difficili da ignorare del tutto, come si vede in segnalazioni di ransomware che stampa richieste di riscatto fisiche direttamente dalle stampanti degli uffici compromessi. Che Deadlock abbia usato o meno tattiche di escalation simili qui, la strategia di fondo è la stessa: forzare una risposta prima che la vittima abbia il tempo di pensare.

I gruppi ransomware hanno anche ampliato i loro obiettivi ben oltre i settori che le persone tradizionalmente associano alla criminalità informatica. Recenti avvertimenti dell'FBI sul Silent Ransom Group che prende di mira studi legali mostrano che gli aggressori sono disposti a colpire qualsiasi organizzazione che detenga dati personali o finanziari sensibili, usando una ingegneria sociale sempre più sofisticata insieme ai metodi di intrusione tradizionali. I conglomerati al dettaglio, i produttori e le istituzioni finanziarie in tutto il Sud-Est asiatico sono obiettivi altrettanto validi quanto uno studio legale occidentale, in particolare quando gestiscono la verifica dell'identità a livello di passaporto per dipendenti o clienti.

Cosa Significa per Te

Se hai qualsiasi relazione con il Gruppo LT, Fortune Tobacco Corp o servizi bancari affiliati come PNB, vale la pena trattare questo incidente seriamente anche prima della conferma ufficiale dell'intera portata. I dati MRZ dei passaporti combinati con i dettagli bancari sono una solida base per la frode di identità, quindi monitorare gli estratti conto e diffidare di comunicazioni inaspettate che fanno riferimento a viaggi o dettagli bancari è una precauzione ragionevole.

Più in generale, questo incidente ricorda che il ransomware non è solo un problema IT, ma un problema di privacy personale. Una volta esfiltrati i file, il danno non viene annullato pagando un riscatto o ripristinando i sistemi. I dati che sono stati copiati rimangono copiati, e i campioni divulgati spesso rappresentano solo una frazione di ciò che gli aggressori possiedono effettivamente.

Conclusioni Pratiche

Se ritieni di poter essere collegato a questa violazione tramite impiego, rapporti bancari o affari con il Gruppo LT o Fortune Tobacco Corp, considera questi passaggi: controlla i tuoi conti bancari e di credito per attività insolite, sii scettico nei confronti di messaggi non richiesti che fanno riferimento a dettagli di passaporti o conti, e valuta di inserire un'allerta antifrode presso la tua banca se hai conti presso istituzioni coinvolte. Le organizzazioni che gestiscono dati di identità a livello di passaporto dovrebbero anche rivedere per quanto tempo tali registri vengono conservati e se la crittografia e i controlli di accesso corrispondono alla sensibilità di ciò che viene archiviato, poiché incidenti come questo mostrano che anche grandi conglomerati affermati rimangono obiettivi attraenti per gli operatori di ransomware disposti ad aspettare che scada una scadenza di 72 ore prima di andare al pubblico.