Il proprietario di MonsterCloud, una società di remediation ransomware, è stato accusato di aver presumibilmente truffato le vittime di ransomware. Secondo il rapporto, avrebbe pagato segretamente gli attaccanti per i decryptor mentre diceva ai clienti che la società utilizzava tecnologia proprietaria per recuperare i loro dati crittografati. Queste accuse di frode contro una società di recupero ransomware sono un utile promemoria del fatto che l'azienda che chiami in un momento di crisi potrebbe non fare ciò che dice.

Le accuse non sono state provate in tribunale e i dettagli disponibili finora sono limitati. Tuttavia, il caso solleva domande pratiche che qualsiasi organizzazione colpita da ransomware dovrebbe essere pronta a porsi.

Di cosa è accusato il proprietario di MonsterCloud

L'accusa si concentra su un divario tra ciò che è stato detto ai clienti e ciò che sarebbe effettivamente accaduto. Le vittime sarebbero state indotte a credere che MonsterCloud stesse recuperando i loro file con la propria tecnologia proprietaria. Invece, secondo i pubblici ministeri, la società avrebbe pagato gli attaccanti per i decryptor dietro le quinte.

La questione centrale non è semplicemente che un riscatto possa essere stato pagato. È che il pagamento sarebbe stato nascosto alle persone i cui dati e il cui denaro erano in gioco. Ai clienti non è stata data la possibilità di decidere da soli se finanziare i criminali.

Perché i pagamenti di riscatto segreti danneggiano le vittime

Quando una società di recupero agisce silenziosamente come intermediario del riscatto, le vittime perdono diverse cose contemporaneamente.

  • Scelta informata. Pagare un attaccante è una decisione importante dal punto di vista aziendale, legale ed etico. Prenderla per un cliente senza dirglielo rimuove quella decisione dalle sue mani.
  • Prezzo accurato. Se la tariffa copre un riscatto nascosto più un ricarico, il cliente non può giudicare se il prezzo è equo per il lavoro descritto.
  • Chiarezza legale e assicurativa. Le organizzazioni possono avere obblighi di segnalazione, requisiti assicurativi o preoccupazioni relative alle sanzioni legate ai pagamenti di riscatto. Un pagamento che non sapevano di aver effettuato non può essere gestito correttamente.
  • Valutazione onesta del rischio. L'affermazione di possedere tecnologia proprietaria per il recupero suggerisce che il problema sia stato risolto con competenza. In realtà, gli attaccanti potrebbero ancora detenere i tuoi dati, sapere che hai pagato e non avere alcun motivo per cancellare qualsiasi cosa.

Niente di tutto ciò significa che ogni azienda che negozia con gli attaccanti stia agendo in modo improprio. Alcune divulgano apertamente il proprio ruolo. Il danno in questo caso, secondo quanto si presume, deriva dall'occultamento.

Segnali d'allarme quando si assume una società di recupero ransomware

Non sempre puoi verificare le affermazioni tecniche nel mezzo di un incidente, ma puoi porre domande dirette e insistere per ottenere risposte chiare.

  1. Affermazioni vaghe sulla tecnologia proprietaria. Chiedi quale sia effettivamente il metodo e se abbia mai funzionato contro la specifica famiglia di ransomware che ti ha colpito. Diffida delle risposte che si riducono a "fidati di noi".
  2. Riluttanza a mettere le cose per iscritto. Un fornitore legittimo dovrebbe essere in grado di dichiarare in un contratto se pagherà o negozierà mai con gli attaccanti per tuo conto.
  3. Tariffe poco chiare. Chiedi un dettaglio che separi manodopera, strumenti e qualsiasi pagamento a terzi.
  4. Pressione a decidere rapidamente. L'urgenza è reale durante un incidente, ma un fornitore che ti scoraggia dal consultare il tuo assicuratore, il tuo consulente legale o le forze dell'ordine merita attenzione.
  5. Nessuna rendicontazione chiara. Dovresti ricevere documentazione di ciò che è stato fatto, incluso come sono stati decrittografati i file e da dove provengono le eventuali chiavi di decrittografia.

Prima di firmare, verifica se la tua polizza di assicurazione informatica include già un panel di risposta agli incidenti verificato. Usarne uno può ridurre la probabilità di assumere una società sconosciuta sotto stress.

Cosa significa il caso per il dibattito sul pagamento del riscatto

Il caso si colloca nel mezzo di un dibattito più ampio su se i pagamenti dei riscatti debbano essere scoraggiati o addirittura vietati. La nostra copertura del dibattito sul divieto di pagamento del riscatto in Sudafrica mostra quanto le opinioni siano divise, anche tra persone che hanno pagato personalmente un riscatto.

Questa storia aggiunge una complicazione. Se i pagamenti vengono limitati o malvisti, la domanda di intermediari silenziosi potrebbe crescere, e così pure la tentazione di nascondere i pagamenti dietro un servizio di recupero. Qualunque cosa decida un paese o un'azienda riguardo al pagamento, la trasparenza su chi paga chi deve far parte del quadro.

Cosa significa questo per te

Se gestisci un'azienda o l'IT per una di esse, la lezione è di definire il tuo approccio prima che si verifichi un attacco. Decidi chi chiameresti, cosa richiede il tuo assicuratore e quale sia la tua politica sui pagamenti. Una ricerca affrettata di aiuto nel momento peggiore è quando errori e truffe sono più probabili.

Gli utenti individuali e le organizzazioni molto piccole non sono esenti. Se un fornitore promette di sbloccare i file, chiedi cosa farà e come, e conserva una copia di tutto ciò che ti dice.

Punti chiave actionable

  • Chiedi a qualsiasi fornitore di recupero una divulgazione scritta su se paga o negozia con gli attaccanti e se te lo dirà prima di farlo.
  • Richiedi un dettaglio delle tariffe voce per voce che mostri eventuali pagamenti a terzi.
  • Coinvolgi presto il tuo assicuratore, il tuo consulente legale e le forze dell'ordine.
  • Mantieni backup offline e testati, così non sarai mai costretto a fare affidamento sulle affermazioni di un fornitore.
  • Informati sul dibattito più ampio nel nostro articolo sul divieto di pagamento del riscatto in Sudafrica per avere contesto sul perché pagare resti così contestato.

Le accuse contro MonsterCloud sono presunte, ma indicano una chiara abitudine che vale la pena adottare: prima che qualsiasi denaro o dato cambi mani, fai dichiarare per iscritto al tuo fornitore di recupero esattamente cosa farà.