Un gruppo di estorsione di dati relativamente nuovo che si fa chiamare ExfilSquad è stato collegato a 13 fughe di dati di vittime confermate nelle settimane successive alla sua prima comparsa, secondo quanto riportato da SC Media. Il gruppo è emerso il 26 luglio e inizialmente ha affermato di aver esfiltrato dati da 15 organizzazioni, ma il monitoraggio successivo ha confermato 13 di quelle fughe. La rapidità con cui ExfilSquad è passato dall'essere sconosciuto a un numero di vittime a due cifre illustra quanto velocemente le operazioni di estorsione di dati possano crescere e perché sia le aziende sia i singoli debbano comprendere in che modo questa minaccia differisca dagli attacchi ransomware che hanno dominato i titoli per anni.

Chi è ExfilSquad e come opera il gruppo

ExfilSquad sembra seguire il collaudato copione dell'estorsione di dati: infiltrarsi nella rete di un bersaglio, copiare silenziosamente i file sensibili e poi minacciare di pubblicare o vendere quei dati se la vittima non paga. A differenza dei gruppi ransomware tradizionali, che in genere cifrano i file e chiedono un pagamento per la chiave di decrittazione, i gruppi incentrati sull'estorsione come ExfilSquad saltano del tutto la fase di cifratura. La loro leva deriva esclusivamente dalla minaccia di esposizione, che si tratti di dati dei clienti, dati finanziari, comunicazioni interne o informazioni aziendali proprietarie.

Ciò che colpisce di ExfilSquad è la tempistica. In circa un mese, il gruppo è passato dalle prime rivendicazioni pubbliche all'essere associato a più di una dozzina di vittime confermate. Questo tipo di velocità suggerisce o un'operazione efficiente e ben finanziata, oppure un gruppo che getta una rete ampia e insegue più bersagli contemporaneamente. Solleva anche una domanda familiare nell'economia dell'estorsione: quanto di ciò che un gruppo afferma può essere preso per buono?

Quali organizzazioni e dati sono stati colpiti

Vale la pena prestare attenzione al divario tra l'affermazione iniziale di ExfilSquad di 15 organizzazioni e le 13 fughe che sono state successivamente confermate. È comune che i gruppi di estorsione gonfino la propria portata, sia per fare pressione sulle vittime affinché paghino rapidamente, sia per attirare attenzione sui forum di criminalità informatica e sui siti di leak. Non tutte le affermazioni reggono a un controllo approfondito e i ricercatori di sicurezza spesso hanno bisogno di tempo per verificare se i dati rubati sono autentici, riciclati da una violazione precedente o esagerati nella portata.

Un'organizzazione citata in relazione all'attività di ExfilSquad è Wesco, un distributore di prodotti elettrici. Come riportato in L'indagine di Wesco sulla rivendicazione di violazione di ExfilSquad, l'azienda ha confermato di stare esaminando un incidente di sicurezza informatica dopo che il gruppo aveva affermato di aver avuto accesso ai suoi sistemi. Questo caso è un utile esempio reale di come si sviluppano tipicamente queste situazioni: emerge una rivendicazione, l'azienda citata avvia un'indagine interna e i dettagli su portata e impatto emergono gradualmente man mano che la verifica procede.

Estorsione tramite esfiltrazione di dati contro ransomware tradizionale

La distinzione tra estorsione tramite esfiltrazione di dati e ransomware classico è più importante di quanto potrebbe sembrare. Gli attacchi ransomware sono spesso dirompenti in senso operativo immediato: i file vengono bloccati, i sistemi si spengono e le operazioni aziendali si arrestano fino a quando non si ottiene una chiave di decrittazione o non si ripristinano i sistemi dal backup. L'estorsione di dati, al contrario, può avvenire in silenzio. I sistemi di un'azienda possono continuare a funzionare normalmente mentre gli aggressori hanno già copiato file sensibili in background. Il primo segnale di problemi è spesso la stessa richiesta di estorsione, oppure un post su un sito di leak come quelli associati a ExfilSquad.

Questo cambiamento è importante per il modo in cui le organizzazioni rilevano e rispondono agli incidenti. Le strategie di backup che proteggono dalla cifratura ransomware non fanno nulla per prevenire il furto di dati. Rilevare l'esfiltrazione richiede il monitoraggio di trasferimenti di dati in uscita anomali e di modelli di accesso non autorizzati, non solo la ricerca di file cifrati. Man mano che più gruppi adottano questo modello, i team di sicurezza devono ripensare i piani di risposta agli incidenti che erano stati costruiti principalmente attorno a scenari ransomware.

Cosa significa questo per te

Se sei un cliente, un dipendente o un partner di un'organizzazione citata in una rivendicazione di estorsione, la preoccupazione pratica è la stessa indipendentemente dal fatto che i numeri dell'aggressore siano del tutto accurati: i tuoi dati personali potrebbero circolare da qualche parte dove non dovrebbero. I gruppi di estorsione spesso danno seguito alle minacce di leak anche dopo un pagamento parziale, oppure pubblicano comunque i dati una volta che le trattative si bloccano. Aspettare una conferma ufficiale prima di adottare precauzioni di base non è una grande strategia.

Per le aziende, il caso ExfilSquad ricorda che la verifica richiede tempo, ma la comunicazione con clienti e partner interessati non dovrebbe essere ritardata inutilmente. Aggiornamenti trasparenti e tempestivi durante un'indagine, simili all'approccio adottato da Wesco, aiutano a mantenere la fiducia anche quando la portata completa di un incidente non è ancora nota.

Consigli pratici

  • Se intrattieni rapporti commerciali con un'organizzazione collegata a una rivendicazione di ExfilSquad, presta attenzione alle notifiche ufficiali di violazione e tratta con sospetto email o chiamate non richieste che fanno riferimento ai dettagli dell'account.
  • Attiva il monitoraggio delle credenziali o un servizio affidabile di scansione del dark web per scoprire se le tue informazioni di accesso o i tuoi dati personali compaiono in un leak.
  • Cambia le password associate a qualsiasi servizio che sospetti possa essere stato colpito e attiva l'autenticazione a più fattori ovunque sia disponibile.
  • Le aziende dovrebbero verificare le capacità di monitoraggio del traffico di rete in uscita, poiché l'esfiltrazione spesso lascia segni meno evidenti rispetto alla cifratura ransomware.
  • Segui la copertura continua degli incidenti confermati, inclusa l'indagine di Wesco sulla rivendicazione di violazione di ExfilSquad, per rimanere aggiornato man mano che i fatti vengono verificati.

I gruppi di estorsione di dati come ExfilSquad prosperano su velocità e incertezza, passando da una rivendicazione all'altra più rapidamente di quanto le vittime possano sempre verificare. Rimanere informati sugli incidenti confermati, invece di reagire a ogni rivendicazione non verificata, resta il modo più affidabile per proteggere i propri dati e rispondere in modo appropriato quando una violazione ti colpisce direttamente.