Un finto salvataggio che peggiora le cose
Quando un'azienda viene colpita da un ransomware, l'istinto è quello di trovare aiuto in fretta. È esattamente questa urgenza che un gruppo che si definisce "Ransom Busters" sembra sfruttare. Secondo la ricerca della società di sicurezza GuidePoint, questo gruppo si è inserito in incidenti ransomware attivi, presentandosi come un servizio di recupero indipendente in grado di decifrare la crittografia e ripristinare i file rubati.
Il problema: Ransom Busters non è affatto una società di recupero legittima. I ricercatori ritengono che sia in realtà collegato alla stessa operazione ransomware, o almeno che lavori di concerto con essa. Il gruppo ha dichiarato di aver violato i pannelli di controllo delle operazioni ransomware-as-a-service (RaaS), dicendo alle vittime di poter offrire chiavi di decrittazione alle proprie condizioni. In realtà, il sistema sembra progettato per intercettare o reindirizzare i pagamenti del riscatto, il che significa che le vittime che pensano di avere a che fare con un servizio di salvataggio potrebbero semplicemente pagare due volte gli stessi criminali, o pagare un intermediario che non ha alcuna intenzione di ripristinare nulla.
Perché questa truffa funziona così bene
Il recupero da ransomware è uno spazio davvero ambiguo. Esistono aziende legittime di risposta agli incidenti, assicuratori di cybersicurezza e negoziatori, e spesso ai consulenti ben intenzionati viene detto di portare aiuto professionale piuttosto che negoziare da soli. È proprio questo ecosistema legittimo che rende efficace una truffa come Ransom Busters. Un team IT in preda al panico, già alle prese con sistemi bloccati e un conto alla rovescia imposto dall'attaccante originale, ha poca capacità di verificare chi si trova dall'altra parte di un'email o di una chat che offre aiuto.
Non è la prima volta che i criminali sfruttano la disperazione delle vittime dopo una violazione. Servizi falsi di "recupero dati" e "pulizia post-violazione" hanno circolato intorno ad aziende e privati per anni, promettendo spesso di cancellare dati trapelati da internet o di negoziare riscatti più bassi, solo per sparire con una tariffa anticipata o, in casi come questo, convogliare il pagamento direttamente agli attaccanti. Ciò che distingue Ransom Busters è l'apparente collegamento diretto con l'operazione ransomware stessa, creando di fatto un secondo livello di monetizzazione sopra il tentativo di estorsione originale.
Le conseguenze sulla privacy oltre il pagamento del riscatto
L'aspetto finanziario riceve la maggior parte dell'attenzione, ma c'è una dimensione della privacy che conta altrettanto. Gli attacchi ransomware spesso comportano il furto di dati insieme alla crittografia, il che significa che i registri dei clienti, i file dei dipendenti o i documenti aziendali sensibili vengono già esfiltrati prima che appaia una nota di riscatto. Quando un falso gruppo di recupero si inserisce nelle negoziazioni, ottiene una visibilità aggiuntiva su quali dati sono stati rubati, chi è l'organizzazione vittima e quanto è disposta a pagare per far sparire il problema.
Per gli individui i cui dati personali si trovano all'interno dei sistemi di un'azienda violata, questa truffa aggiunge un ulteriore livello di incertezza. È già difficile sapere se un'azienda che ha subito un ransomware ha pagato il riscatto, ha recuperato i propri dati in modo pulito o ha negoziato silenziosamente con un intermediario truffaldino che non aveva alcuna reale capacità di proteggere nulla. Se i tuoi dati facevano parte dei sistemi di un'organizzazione colpita, le indicazioni in Sei una vittima di violazione dati nel 2026? Ecco il tuo piano di recupero restano il percorso più affidabile: presupponi l'esposizione, monitora i tuoi conti e adotta misure per limitare i danni a valle, indipendentemente da come l'azienda ha gestito l'incidente.
Cosa significa per te
La maggior parte dei lettori non negozierà mai direttamente con una gang di ransomware, ma la lezione di Ransom Busters si applica in generale: chiunque offra di "riparare" una violazione o un attacco informatico dopo il fatto merita di essere esaminato con attenzione, soprattutto se ti contatta prima lui piuttosto che il contrario. Le aziende legittime di risposta agli incidenti vengono in genere coinvolte dal team di sicurezza dell'organizzazione vittima, dal consulente legale o dal fornitore di assicurazione cyber, non da contatti non richiesti che dichiarano di avere accesso interno ai sistemi dell'attaccante.
Se lavori nell'IT, nella sicurezza o nella leadership esecutiva di un'organizzazione che subisce un evento ransomware, verifica qualsiasi fornitore di recupero attraverso canali indipendenti prima di coinvolgerlo, e coinvolgi le forze dell'ordine o una nota azienda di risposta agli incidenti piuttosto che accettare aiuto che emerge a metà crisi. Se sei un individuo preoccupato che i tuoi dati siano stati coinvolti in una violazione ransomware presso un'azienda che utilizzi, la priorità è la stessa di qualsiasi violazione: cambia le password riutilizzate, attiva l'autenticazione multifattoriale e controlla i tuoi conti finanziari e i rapporti di credito per attività insolite.
Stare al passo con le truffe di recupero ransomware
Il caso Ransom Busters è un promemoria del fatto che gli attacchi ransomware raramente finiscono con un unico momento decisionale. Alla fase di estorsione può seguire una seconda ondata di sfruttamento travestita da aiuto, e distinguere un supporto di recupero reale da una truffa di recupero ransomware richiede la stessa cautela che applicheresti a qualsiasi offerta non richiesta durante una crisi. Le organizzazioni dovrebbero incorporare la verifica dei fornitori nei propri piani di risposta agli incidenti prima che un attacco accada, non mentre è in corso. Per gli utenti comuni, la mossa più sicura è trattare qualsiasi notifica di violazione, che arrivi da un'azienda di cui ti fidi o da uno sconosciuto che promette di annullare il danno, come un segnale per mettere al sicuro i propri account piuttosto che aspettare che qualcun altro sistemi tutto.
