Da intermediario di fiducia a complice criminale

Un uomo della Florida che lavorava come negoziatore di ransomware è stato condannato per aver aiutato un noto gruppo di ransomware a estorcere denaro ad aziende americane, secondo TechCrunch. È il terzo negoziatore legato a questo schema a finire in carcere, un dettaglio che sottolinea quanto alcuni sedicenti professionisti della risposta agli incidenti si fossero radicati nelle operazioni criminali che erano stati chiamati a contrastare.

I negoziatori di ransomware hanno normalmente uno scopo legittimo. Quando un'azienda viene colpita da un ransomware, il personale IT interno o i consulenti legali esterni ingaggiano spesso uno specialista per comunicare con gli aggressori, verificare le capacità di decrittazione e cercare di abbassare la richiesta di riscatto. Questi negoziatori occupano una strana zona intermedia: devono conoscere a sufficienza i forum criminali, i flussi di pagamento in criptovaluta e i canali di comunicazione del dark web per essere efficaci, ma dovrebbero rimanere saldamente dalla parte della vittima.

Questo caso mostra cosa succede quando quel confine viene superato. Invece di agire esclusivamente per conto delle aziende che pagavano i suoi servizi, il negoziatore condannato avrebbe lavorato in coordinamento con la stessa gang di ransomware, contribuendo a indirizzare le vittime verso il pagamento e, di conseguenza, aiutando i criminali a trarre profitto dall'estorsione.

Come le gang di ransomware sfruttano gli strumenti di anonimato

Le operazioni di ransomware si basano su un ecosistema stratificato di strumenti di anonimato e crittografia originariamente creati per scopi legittimi di privacy. I gruppi criminali instradano le comunicazioni attraverso reti di anonimizzazione, usano messaggistica cifrata per coordinarsi con gli affiliati e richiedono pagamenti in criptovaluta proprio perché è più difficile da tracciare rispetto alle transazioni bancarie tradizionali.

Un negoziatore compromesso o compiacente aggiunge un ulteriore strato di offuscamento. Poiché ci si aspetta che i negoziatori interagiscano con gli attori delle minacce nell'ambito del loro lavoro, le loro comunicazioni possono confondersi con le normali attività di risposta agli incidenti, rendendo più difficile per vittime, assicuratori e forze dell'ordine rilevare la collusione. Questo caso ci ricorda che le stesse tecnologie di privacy e crittografia che proteggono giornalisti, attivisti e utenti comuni dalla sorveglianza possono essere utilizzate in modo improprio da malintenzionati che cercano di nascondere le proprie tracce. Gli strumenti in sé sono neutrali; è l'intento con cui vengono usati a fare la differenza.

Per chi utilizza quotidianamente VPN e strumenti per la privacy, questa distinzione è importante. Usare la crittografia o l'anonimizzazione per proteggere i propri dati personali non equivale a usare quegli strumenti per facilitare l'estorsione. I servizi di privacy affidabili esistono per salvaguardare comunicazioni e dati legittimi, non per proteggere imprese criminali. Chiunque venga ingaggiato per rappresentare un'organizzazione vittima di un incidente di sicurezza ha la responsabilità di agire nell'interesse di quell'organizzazione, non di servire silenziosamente gli aggressori.

Gli effetti a catena dell'estorsione tramite ransomware

Gli attacchi ransomware raramente restano confinati a una singola azienda. Le organizzazioni vittime spesso detengono dati sensibili dei clienti e quando le negoziazioni falliscono o i pagamenti non fermano una fuga di dati, questi possono finire esposti pubblicamente. La violazione dei dati di Humana che ha esposto informazioni sanitarie in sei stati illustra come un singolo incidente di sicurezza in un'azienda possa propagarsi fino a colpire clienti in più stati, indipendentemente da come abbia avuto origine la violazione. Cartelle cliniche, dettagli finanziari e identificatori personali sono esattamente il tipo di dati che le gang di ransomware minacciano di diffondere se il riscatto non viene pagato, motivo per cui le autorità di regolamentazione e i legislatori si sono concentrati sempre di più su come le aziende trattano le informazioni sensibili sia prima sia dopo una violazione.

Questa pressione normativa sta crescendo. Gli stati si sono mossi per inasprire le norme sulla privacy dei dati, come si è visto con il Vermont Data Privacy and Online Surveillance Act, e sono seguite cause legali dopo violazioni di alto profilo, incluso lo sforzo in corso dietro la causa sui dati genetici di 23andMe. Questi casi mostrano che le conseguenze di un incidente ransomware o di una violazione dei dati vanno ben oltre l'attacco iniziale, toccando le dimensioni legali, normative e della fiducia dei consumatori per anni.

Cosa significa per te

Se la tua organizzazione dovesse mai subire un attacco ransomware, verificare attentamente chi porti a bordo per dare aiuto è di enorme importanza. Un negoziatore, un'azienda di risposta agli incidenti o un consulente dovrebbe avere credenziali verificabili, dichiarazioni chiare sui conflitti di interessi e un processo trasparente su come comunica con gli aggressori. Fai domande mirate sulla loro esperienza pregressa e se hanno qualsiasi rapporto finanziario legato ai pagamenti del riscatto stesso.

Per gli utenti individuali, la lezione è più ampia: strumenti per la privacy come VPN e messaggistica cifrata esistono per proteggere i tuoi dati e le tue comunicazioni dalla sorveglianza indesiderata, non per favorire schemi di estorsione. Capire questa distinzione aiuta a separare la legittima difesa della privacy dall'uso criminale improprio, ed è bene ricordarlo la prossima volta che i titoli dei giornali fondono le due cose.

Punti chiave

  • Verifica attentamente qualsiasi negoziatore di ransomware o azienda di risposta agli incidenti prima di coinvolgerlo durante una violazione in corso.
  • Comprendi che le gang di ransomware si affidano a strumenti di crittografia e anonimato creati per scopi legittimi di privacy, e l'uso improprio non si riflette sugli strumenti stessi.
  • Tieniti informato su come gli incidenti ransomware possono esporre dati personali e monitora i tuoi account se scopri che un'azienda che detiene tue informazioni ha subito una violazione.
  • Sostieni normative più severe sulla privacy dei dati a livello statale e federale, poiché determinano il modo in cui le aziende devono proteggere e comunicare le informazioni sensibili dopo un incidente.

Questa condanna ci ricorda che la lotta contro il ransomware va oltre le difese tecniche. Dipende anche dall'integrità delle persone e delle aziende di cui le vittime si fidano per essere aiutate durante una crisi.