Una Nuova Variazione su un Vecchio Copione di Estorsione

Le gang ransomware hanno a lungo fatto affidamento su paura e urgenza per fare pressione sulle vittime affinché paghino. Ora, secondo quanto riportato su uno schema soprannominato 'Ransom Busters,' almeno un affiliato ransomware ha trovato un nuovo approccio: spacciarsi per proprio quelle persone che dovrebbero aiutare le vittime a riprendersi.

Invece di limitarsi a pretendere il pagamento e sparire dopo l'attacco, questo attore si avvicinerebbe alle vittime con offerte di assistenza, presentandosi come un servizio di recupero da incidente. Il problema è che questo 'aiuto' non è neutrale. Sembra progettato per dirottare i pagamenti del riscatto lontano dai canali legittimi e reindirizzarli direttamente nelle tasche dello stesso ecosistema criminale che ha causato la violazione in primo luogo.

Questo è un cambiamento significativo nelle tattiche. Le operazioni ransomware tradizionali si basano su una transazione semplice, seppur brutale: crittografare i dati, richiedere il pagamento, fornire una chiave di decrittazione (forse). Inserendo un falso strato di recupero in quel processo, gli attaccanti possono manipolare vittime disperate due volte: una durante la violazione iniziale, e di nuovo mentre cercano di trovare una via d'uscita.

Perché le Vittime Sono Particolarmente Vulnerabili a Questo Raggiro

Le organizzazioni colpite da ransomware spesso operano in modalità di crisi. I sistemi sono giù, i dirigenti sono sotto pressione, e i decisori si affannano a cercare qualsiasi percorso credibile per ripristinare le operazioni. Quel contesto è esattamente ciò che rende efficace un falso 'servizio di recupero.' Le vittime non stanno necessariamente vagliando ogni offerta di aiuto con occhio scettico; stanno cercando una risoluzione rapida.

Questa tattica gioca anche su una tendenza più ampia degli attori ransomware di offuscare il confine tra attaccante e soccorritore. Fa eco ad altri casi recenti in cui i minacciatori hanno impersonato ruoli fidati per ottenere accesso o influenza, come la Silent Ransom Group che si spaccia fisicamente per personale IT presso studi legali per manipolare i dipendenti dall'interno. Che l'impersonificazione avvenga di persona o tramite un falso marchio di recupero, l'obiettivo è lo stesso: sfruttare la fiducia nel momento esatto in cui un'organizzazione è meno attrezzata per verificare con chi ha davvero a che fare.

I gruppi ransomware hanno inoltre dimostrato di essere disposti a colpire un'ampia gamma di settori quando l'occasione si presenta, come visto quando il gruppo SpaceBears ha colpito il provider di telecomunicazioni francese Stellar. Tattiche come lo schema 'Ransom Busters' suggeriscono che anche dopo un attacco iniziale, le vittime in tutti i settori non possono dare per scontato che il pericolo sia passato una volta iniziate le negoziazioni.

Le Conseguenze sulla Privacy dei Falsi Servizi di Recupero

Le implicazioni sulla privacy qui vanno oltre l'angolo finanziario. Quando una vittima interagisce con ciò che crede essere un servizio di recupero legittimo, potrebbe condividere dettagli sensibili sulla propria rete, sulla propria esposizione dei dati, sui propri processi decisionali interni, e persino sulla propria disponibilità a pagare. Se quel 'servizio' è in realtà controllato dall'attaccante, o affiliato ad esso, tutte quelle informazioni fluiscono direttamente alle persone responsabili della violazione.

Questo crea un ciclo di retroazione che avvantaggia l'attaccante in ogni fase: viene pagato, ottiene informazioni su come la vittima sta rispondendo, e potrebbe persino ottenere una seconda occasione per estorcere denaro sotto le spoglie di un'assistenza legittima. Per qualsiasi organizzazione già alle prese con dati compromessi, questo tipo di schema moltiplica l'esposizione invece di risolverla.

Cosa Significa Questo per Te

Se la tua organizzazione viene mai colpita da ransomware, la pressione di trovare una soluzione rapida può essere intensa, ma questo schema è un promemoria che non ogni offerta di aiuto durante una crisi è genuina. Le società di recupero, i negoziatori e i consulenti di cybersecurity dovrebbero sempre essere verificati in modo indipendente, idealmente tramite referenze, reputazioni consolidate, o il tuo fornitore di assicurazione cyber, piuttosto che tramite contatti che emergono spontaneamente subito dopo un attacco.

Vale anche la pena ricordare che le società legittime di risposta agli incidenti non compaiono tipicamente dal nulla con offerte non richieste immediatamente dopo una violazione. Qualsiasi contatto inaspettato che affermi di voler aiutare con la negoziazione del riscatto o il recupero dei dati merita ulteriore scrutinio prima che qualsiasi informazione, o denaro, cambi di mano.

Azioni Pratiche da Intraprendere

  • Verifica qualsiasi servizio di recupero o negoziazione da incidente tramite canali fidati e indipendenti prima di interagire, specialmente se ti contattano per primi.
  • Coinvolgi fin dall'inizio le forze dell'ordine e il tuo fornitore di assicurazione cyber; possono aiutarti a distinguere i partner di recupero legittimi dagli attori opportunisti.
  • Evita di condividere informazioni dettagliate sulla tua violazione, sui tuoi sistemi o sulle tue intenzioni di pagamento con qualsiasi parte le cui credenziali non siano state confermate.
  • Tratta le offerte di aiuto non richieste dopo una violazione con lo stesso scetticismo che applicheresti alla nota di riscatto originale.

Schemi come 'Ransom Busters' dimostrano che l'estorsione ransomware non finisce sempre quando appare la nota di riscatto. Rimanere cauti su chi ti fidi nelle fasi successive a un attacco è importante tanto quanto difendersi dalla violazione iniziale.