Un nuovo nome nell'estorsione dati
Un attore di minaccia precedentemente sconosciuto, che si fa chiamare ExfilSquad, è diventato rapidamente uno dei nomi più discussi nel panorama dell'estorsione dati. Secondo una ricerca di DarkOwl, il gruppo è emerso con rivendicazioni di violazioni di alto profilo in Stati Uniti, Regno Unito e altri paesi, posizionandosi come un nuovo e temibile protagonista in un campo già affollato di gruppi di hacker focalizzati sull'estorsione.
Ciò che rende ExfilSquad degno di nota non è necessariamente la sofisticazione. Sono la velocità e il volume. Il gruppo si sarebbe fatto conoscere pubblicando un'ampia serie di rivendicazioni di violazione in un lasso di tempo molto breve, nominando Microsoft e Zenith Bank tra le 14 presunte vittime in un solo giorno. Questo tipo di divulgazione rapida e massiccia è insolito anche per gli standard dei moderni gruppi di estorsione, molti dei quali tendono a pubblicare gli annunci delle vittime in modo graduale per massimizzare la pressione e l'attenzione mediatica.
Come opera ExfilSquad
A differenza delle tradizionali bande di ransomware che si affidano alla cifratura dei sistemi della vittima e alla richiesta di un riscatto per la chiave di decrittazione, gruppi di estorsione dati come ExfilSquad in genere saltano del tutto la fase di cifratura. Si concentrano invece sul furto di dati e minacciano di pubblicarli o venderli se non viene pagato un riscatto. Questo approccio è diventato sempre più comune perché richiede un minore impegno tecnico rispetto all'implementazione e alla manutenzione di un ransomware, pur offrendo agli aggressori una leva significativa sulle vittime che temono danni reputazionali, sanzioni normative o l'esposizione di informazioni sensibili su clienti e dipendenti.
L'aver nominato sia un'azienda tecnologica globale sia un istituto finanziario nella sua prima ondata di rivendicazioni suggerisce che il gruppo non si limita a un settore o a un'area geografica particolari. Questa ampiezza è coerente con quanto descritto dalla ricerca di DarkOwl: un gruppo che getta una rete ampia su settori e paesi diversi, invece di specializzarsi in un unico tipo di bersaglio. Per le organizzazioni che monitorano le minacce emergenti, questa mancanza di un focus ristretto può rendere ExfilSquad più difficile da anticipare, poiché non esiste un modello di settore chiaro da sorvegliare.
Perché questo è importante oltre i titoli dei giornali
È importante notare che le rivendicazioni fatte dai gruppi di estorsione sui siti di leak o nei forum del dark web non sono sempre verificate in modo indipendente al momento della pubblicazione. A volte i gruppi esagerano la portata o l'autenticità dei dati rubati per aumentare la pressione sulle vittime o per costruirsi una reputazione negli ambienti criminali. Detto questo, anche le rivendicazioni non verificate possono avere conseguenze reali. Non appena il nome di un'azienda o di un individuo compare sul sito di leak di un gruppo di estorsione, la sola esposizione, indipendentemente da quanti dati si dimostrino poi autentici, può innescare preoccupazioni da parte dei clienti, controlli normativi e danni reputazionali.
Per gli utenti comuni di Internet, l'emergere di un nuovo gruppo di estorsione è un promemoria del fatto che il panorama delle violazioni di dati non è statico. Nuovi gruppi si formano, cambiano nome o si separano da operazioni precedenti con regolarità. Ciò che conta di più per i consumatori non è necessariamente seguire ogni nuovo gruppo per nome, ma capire che qualsiasi organizzazione che detiene dati personali, dalle banche alle aziende tecnologiche fino ai database governativi, può diventare un bersaglio in qualsiasi momento.
Cosa significa per te
Se sei cliente di un'organizzazione citata in relazione a un gruppo di estorsione dati, che si tratti di ExfilSquad o di un altro, il rischio pratico è lo stesso: le tue informazioni personali, i dettagli finanziari o le credenziali dell'account potrebbero finire esposti o venduti. Questo vale sia che la rivendicazione della violazione sia completamente verificata o meno, poiché gli aggressori a volte utilizzano dump di dati parziali o più vecchi per creare l'apparenza di una nuova violazione.
L'ascesa di gruppi come ExfilSquad sottolinea anche una tendenza più ampia nella criminalità informatica: il furto di dati e l'estorsione sono diventati un modello di business a sé stante, separato dagli attacchi ransomware che hanno dominato i titoli dei giornali negli anni precedenti. Questo cambiamento significa che gli individui dovrebbero presumere che i propri dati possano già circolare in qualche forma e adattare di conseguenza le proprie abitudini di sicurezza, invece di aspettare le notifiche ufficiali di violazione.
Consigli pratici
Monitora gli account legati a qualsiasi organizzazione di cui sei utente e che è stata nominata da un gruppo di estorsione, facendo attenzione a tentativi di accesso insoliti o notifiche. Usa password uniche e complesse per ogni account, in modo che una singola violazione non si propaghi ad altri, e attiva l'autenticazione a più fattori ovunque sia disponibile. Prendi in considerazione il monitoraggio del credito o gli avvisi di frode se nel presunto attacco sono coinvolti istituti finanziari. Infine, rimani scettico riguardo a email o chiamate non richieste che fanno riferimento a una violazione, poiché i truffatori spesso sfruttano le notizie di incidenti reali per condurre campagne di phishing. È probabile che gruppi come ExfilSquad non saranno gli ultimi nuovi operatori dell'estorsione a fare notizia, ma rimanere proattivi riguardo alla propria igiene dei dati resta la difesa più affidabile, indipendentemente da quale gruppo ci sia dietro la prossima rivendicazione.
