Una Seconda Estorsione Nascosta Dentro la Prima

Le vittime di ransomware devono già affrontare una scelta impossibile: pagare un gruppo criminale o rischiare che i dati rubati vengano divulgati. Ora, secondo i ricercatori di GuidePoint Security, alcune vittime si trovano di fronte a una terza opzione che non avevano mai chiesto. Un gruppo che si fa chiamare "Ransom Busters" ha contattato aziende appena colpite da ransomware, prima che l'attacco diventasse di pubblico dominio, offrendosi di recuperare i file crittografati ed eliminare i dati rubati per una frazione della richiesta originale.

Sulla carta, questa proposta sembra una ancora di salvezza. In pratica, i risultati di GuidePoint suggeriscono che si tratta di una truffa costruita sopra un crimine già devastante. Chiunque sia dietro a Ransom Busters sembra sapere che la vittima è già stata violata, il che implica fortemente una connessione con la stessa operazione ransomware, o almeno un accesso privilegiato alla sua lista di vittime. Questa tempistica è l'intera truffa: funziona perché il bersaglio è spaventato, confuso e disperato per qualsiasi via d'uscita che costi meno della richiesta originale dell'aggressore.

Come Lo Schema Sfrutta il Caos di un Attacco

Le negoziazioni ransomware sono già torbide. Le vittime raramente sanno con certezza con chi stanno trattando, se i file rubati sono stati effettivamente eliminati dopo il pagamento, o se pagare invita a un attacco ripetuto. Questa incertezza è esattamente il terreno in cui Ransom Busters si sta inserendo. Presentandosi come un'azienda di recupero indipendente piuttosto che come l'estorsore, lo schema dà alle vittime la falsa sensazione di avere a che fare con una terza parte neutrale piuttosto che negoziare direttamente con i criminali.

Non è la prima volta che i ricercatori segnalano questo gruppo specifico. Un precedente resoconto sulla truffa Ransom Busters che preda le vittime di ransomware e un altro articolo sul falso gruppo Ransom Busters che truffa le vittime di ransomware hanno entrambi descritto lo stesso schema: contatto prima della divulgazione pubblica, prezzo ridotto e promesse di eliminazione dei dati che non possono essere realisticamente verificate. La ricerca più recente di GuidePoint conferma che non si tratta di un tentativo di phishing isolato, ma di un racket continuo e apparentemente redditizio che cavalca attacchi ransomware legittimi.

L'ironia scomoda è che questa truffa funziona solo perché pagare le richieste ransomware è diventato così normalizzato che una vittima considera plausibile una seconda richiesta di pagamento non sollecitata. La ricerca di Proofpoint ha già dimostrato che 1 vittima su 3 di ransomware viene colpita di nuovo, il che significa che le organizzazioni che pagano una volta hanno statisticamente più probabilità di essere prese di mira una seconda volta. Ransom Busters sembra capitalizzare su questo stesso ciclo, solo da un'angolazione diversa.

Perché Questo Conta Oltre la Richiesta di Riscatto

La posta in gioco per la privacy qui va oltre un pagamento sprecato. Le vittime che hanno a che fare con Ransom Busters sono, per definizione, organizzazioni che hanno già subito il furto di dati sensibili. Ogni canale di comunicazione extra che una vittima apre, specialmente uno avviato da una parte non verificata che sostiene di avere conoscenze interne sulla violazione, è un'altra opportunità per quei dati di essere gestiti male, esposti ulteriormente o usati come leva. Se una vittima paga Ransom Busters credendo che i suoi file rubati verranno eliminati, non ha alcuna garanzia reale che sia stato eliminato qualcosa. I dati potrebbero ancora essere venduti, divulgati o trattenuti per future estorsioni.

Questo si inserisce in uno schema più ampio documentato nella copertura del perché l'economia dell'estorsione ransomware persiste nel 2026: finché pagare rimane comune e la verifica rimane quasi impossibile, i criminali continueranno a trovare nuovi modi per inserirsi nel processo di pagamento. Ransom Busters è semplicemente l'ultima variazione, che sfrutta la stessa lacuna di fiducia che rende il ransomware redditizio in primo luogo.

Cosa Significa Questo Per Te

Se la tua organizzazione viene colpita da ransomware, tratta qualsiasi offerta non sollecitata di aiuto per il recupero con lo stesso scetticismo che applicheresti alla richiesta di riscatto stessa. Le aziende legittime di risposta agli incidenti vengono ingaggiate da te, non il contrario, e di solito non contattano proattivamente prima che un attacco sia diventato pubblico. Un messaggio che dichiara di avere accesso interno ai dettagli della tua violazione, che arriva in modo sospettosamente rapido, è una grande bandiera rossa piuttosto che una scorciatoia.

Le organizzazioni dovrebbero instradare qualsiasi incidente ransomware attraverso un fornitore di risposta agli incidenti noto e verificato o un contatto delle forze dell'ordine, piuttosto che interagire direttamente con chiunque si avvicini per primo. Verificare l'identità, documentare tutte le comunicazioni e resistere alla pressione di agire rapidamente sono le migliori difese contro una truffa progettata per sfruttare il panico.

Punti Chiave

  • Diffida di chiunque offra servizi di "recupero" ransomware che ti contatta prima che la tua violazione sia pubblica.
  • Non dare mai per scontato che un pagamento ridotto garantisca l'eliminazione dei dati; non esiste un modo affidabile per verificare quella promessa.
  • Lavora solo con aziende di risposta agli incidenti che tu o il tuo consulente legale abbiate verificato in modo indipendente.
  • Segnala offerte di recupero sospette alle forze dell'ordine, poiché potrebbero indicare conoscenze interne sull'attacco originale.
  • Comprendi che pagare qualsiasi parte in un incidente ransomware, sia l'aggressore originale che altri, comporta rischi e non garantisce la sicurezza dei tuoi dati.