Il gruppo ransomware Play rivendica una nuova vittima

Il gruppo ransomware Play ha aggiunto Kreysler & Associates alla lista delle vittime rivendicate, secondo quanto riportato dalla società di threat intelligence DeXpose. Come tipico del modello operativo del gruppo, gli aggressori affermano di aver sottratto dati dai sistemi aziendali e minacciano di pubblicarli se non verranno avviate trattative. Al momento non sono stati confermati pubblicamente né l'importo del riscatto, né una scadenza, né specifiche categorie di dati, ma la semplice presenza nell'elenco del sito di leak di un gruppo ransomware è spesso il primo segno visibile che un'organizzazione ha subito una grave intrusione nella rete.

Questo episodio rientra in uno schema diventato tristemente familiare negli ultimi anni. I gruppi ransomware saltano sempre più spesso la rumorosa e facilmente rilevabile fase di cifratura, preferendo copiare silenziosamente i file sensibili prima di lanciare qualsiasi minaccia pubblica. Questo cambiamento, noto come doppia estorsione, offre agli aggressori una leva anche quando la vittima dispone di backup solidi e può ripristinare i sistemi senza pagare. Il danno non riguarda più i file bloccati, ma ciò che accade ai dati una volta fuori dal controllo dell'azienda.

Chi c'è dietro il gruppo ransomware Play

Play ransomware si è guadagnato la reputazione di una delle operazioni di estorsione più prolifiche attualmente in attività, essendo stato collegato a centinaia di attacchi contro organizzazioni in molteplici settori e paesi. L'approccio del gruppo prevede in genere l'accesso iniziale a una rete bersaglio, il movimento laterale per individuare archivi di dati preziosi, l'esfiltrazione dei file e poi la cifratura dei sistemi, la minaccia di pubblicazione o entrambe. Le vittime vengono solitamente indirizzate a un portale di negoziazione, con la minaccia di un dump pubblico dei dati che serve a fare pressione per un pagamento rapido e discreto.

Non è la prima volta che Play prende di mira un'azienda mettendo a rischio dati personali o operativi sensibili. Un caso simile, che ha coinvolto l'attacco del ransomware Play ad Ampex Data Systems, ha mostrato come le tattiche del gruppo possano esporre documenti altamente sensibili, inclusi numeri di previdenza sociale e dettagli di conti finanziari, una volta che le trattative si interrompono o vengono ignorate. Il caso Kreysler & Associates segue lo stesso copione: rivendicare pubblicamente la vittima, applicare pressione temporale e usare la minaccia di esposizione come principale merce di scambio.

Perché è importante per la privacy, non solo per la sicurezza informatica

È facile considerare incidenti ransomware come questo un problema puramente informatico o di continuità operativa per l'azienda coinvolta. Ma le implicazioni per la privacy spesso si estendono ben oltre i confini dell'organizzazione. Se Kreysler & Associates gestiva dati appartenenti a dipendenti, clienti, collaboratori o partner commerciali, qualsiasi di queste informazioni potrebbe essere stata coinvolta nell'esfiltrazione e potenzialmente pubblicata online in caso di fallimento delle trattative.

Si tratta di un tema ricorrente nelle recenti diffusioni di ransomware. In un caso di alto profilo, Weil Gotshal avrebbe pagato tra i 18 e i 20 milioni di dollari a un gruppo di cyber estorsione dopo il furto di documenti riservati dei clienti, dimostrando quanto possano diventare costosi e sensibili i dati aziendali rubati. Altrove, attacchi come quello a Soja de Portugal che ha portato alla fuga di 491 GB di dati mostrano quanto possano essere estesi questi dump di dati quando un gruppo mette in atto la propria minaccia. E le violazioni che colpiscono più istituzioni contemporaneamente, come si è visto quando un singolo gruppo ransomware ha colpito ANC, SAA e Pick n Pay, dimostrano come una singola tecnica di intrusione riuscita possa propagarsi in un intero settore.

Che Kreysler & Associates confermi o meno la portata di questo incidente, lo schema è chiaro: i gruppi ransomware scommettono che la minaccia di esposizione pubblica faccia più lavoro di quanto abbia mai fatto la sola cifratura.

Cosa significa per te

Se sei un cliente, un dipendente o un partner commerciale di Kreysler & Associates, non c'è bisogno di farsi prendere dal panico, ma vale la pena rimanere vigili. Presta attenzione alle comunicazioni ufficiali dell'azienda riguardo a questo incidente e, nelle prossime settimane, diffida di email o chiamate indesiderate che affermano di provenire dall'azienda o da un servizio correlato, poiché le fughe di dati sono spesso seguite da tentativi di phishing che utilizzano dettagli rubati per apparire legittimi.

Più in generale, questo caso ricorda che gli attacchi ransomware raramente rimangono circoscritti ai sistemi interni di una singola organizzazione. Chiunque abbia informazioni personali o finanziarie che transitano attraverso un'azienda, sia come dipendente, cliente o fornitore, ha un interesse diretto a quanto seriamente quell'azienda prenda la sicurezza dei dati.

Consigli pratici

Se ritieni che i tuoi dati possano essere transitati dai sistemi di Kreysler & Associates o di un'organizzazione simile, prendi in considerazione questi passi: monitora i tuoi conti finanziari e i report creditizi per attività insolite, attiva l'autenticazione a più fattori ovunque sia disponibile e tratta con scetticismo email o messaggi inattesi che fanno riferimento a problemi di account, fino a verifica tramite canali ufficiali. Le aziende, nel frattempo, dovrebbero considerare episodi come questo come uno stimolo per rivedere la propria esposizione al ransomware a doppia estorsione, assicurarsi che i backup siano testati e isolati dalle reti primarie e confermare che i piani di risposta agli incidenti tengano conto dell'esfiltrazione dei dati, non solo del fermo dei sistemi. Mentre Play ransomware e gruppi simili continuano a prendere di mira organizzazioni in tutti i settori, una preparazione proattiva rimane la difesa più affidabile per evitare di diventare il prossimo nome su un sito di leak.