Un gruppo che si fa chiamare Ransom Busters sta prendendo di mira un pubblico che ha già avuto una settimana terribile: le vittime di ransomware. Secondo le segnalazioni sull'attività del gruppo, Ransom Busters afferma di aver hackerato i server degli stessi operatori di ransomware e ora offre alle vittime un accordo: pagare tra 20.000 e 60.000 dollari e il gruppo aiuterà a recuperare i file crittografati e a eliminare i dati rubati. Sembra una ancora di salvezza. È più probabilmente un secondo tentativo di estorsione travestito da salvataggio.

Questa storia è importante perché espone un problema crescente nell'ecosistema del ransomware: dopo che un'organizzazione viene colpita una volta, diventa un bersaglio per attori opportunistici che sfruttano il caos, la paura e l'urgenza che seguono una violazione. Capire come funziona questa falsa frode di recupero da ransomware e come distinguere un vero aiuto da una truffa è essenziale per qualsiasi organizzazione che si trovi dalla parte sbagliata di un attacco.

Cosa afferma di offrire Ransom Busters

Secondo le segnalazioni, Ransom Busters si presenta come una parte esterna che ha compromesso l'infrastruttura utilizzata dalle gang di ransomware. La proposta è semplice: il gruppo dice di poter recuperare la capacità di decrittazione o i file rubati e di poter garantire che i dati sottratti durante l'attacco originale vengano eliminati anziché pubblicati. In cambio, alle vittime viene chiesto di pagare una somma che va da 20.000 a 60.000 dollari, una cifra considerevole per organizzazioni che potrebbero già essere in difficoltà a causa di perdite operative, tempi di inattività o una richiesta di riscatto iniziale.

In superficie, questa impostazione prende in prestito credibilità dal linguaggio dell'hacking etico e della ricerca sulla cybersecurity. Gruppi che penetrano realmente infrastrutture criminali esistono, e le forze dell'ordine hanno occasionalmente recuperato chiavi di decrittazione con mezzi simili. Ma non c'è alcuna verifica indipendente legata alle affermazioni di Ransom Busters, e l'intero modello si basa sulla fiducia che le vittime ripongono in una terza parte anonima con denaro dopo essere già state truffate una volta.

Come funziona la truffa della doppia estorsione

I meccanismi qui sono semplici e deprimentemente efficaci. Le vittime di ransomware sono già sotto pressione: i sistemi sono giù, clienti o autorità di regolamentazione potrebbero fare domande, e gli attaccanti originali stanno spingendo su un conto alla rovescia. In quel caos arriva un gruppo che offre una scorciatoia, un modo per far sparire il problema pagando una somma che potrebbe sembrare modesta rispetto alla richiesta di riscatto o al costo di un prolungato periodo di inattività.

Questo è funzionalmente una seconda estorsione sovrapposta alla prima. Che Ransom Busters abbia o meno un reale accesso all'infrastruttura ransomware, la struttura di incentivi è identica all'attacco originale: pagare denaro a una parte non verificata in cambio di una promessa. Le vittime non hanno alcun modo per confermare che i file verranno recuperati, che i dati rubati verranno effettivamente eliminati, o che non verranno semplicemente estorte una terza volta più avanti. Questo schema riecheggia il modus operandi visto in altri incidenti guidati dall'estorsione, inclusi casi in cui gruppi come ShinyHunters hanno fissato scadenze pubbliche per la pubblicazione dei dati per fare pressione sulle vittime, come visto nella violazione ShinyHunters che ha colpito le email di Inter-Con Security e nelle affermazioni sui dati Kodak legate a una scadenza di pubblicazione.

Verificare i servizi di recupero legittimi rispetto alle truffe

L'aumento delle offerte di recupero false rende la verifica una competenza critica per qualsiasi organizzazione che gestisce un incidente. Alcuni controlli pratici possono separare l'aiuto legittimo da una truffa. Le aziende legittime di incident response e i contatti delle forze dell'ordine possono essere verificati tramite canali consolidati, licenze professionali, referenze di casi precedenti e contratti formali di ingaggio. Di solito non si presentano in modo non richiesto con un prezzo fisso e l'affermazione di aver violato personalmente i server dell'attaccante.

Le organizzazioni dovrebbero anche essere scettiche verso qualsiasi contatto non richiesto dopo un incidente ransomware, che si presenti come servizio di recupero, giornalista o persino collega vittima che offre di condividere informazioni. Attaccanti e opportunisti sanno che un'azienda violata è distratta e ansiosa, il che la rende un bersaglio facile per ulteriori manipolazioni. Coinvolgere un fornitore di incident response noto e verificato, e coinvolgere le forze dell'ordine, rimane la strada più sicura rispetto a interagire con gruppi anonimi che fanno affermazioni audaci su chat crittografate o forum del dark web.

Perché i backup battono qualsiasi pagamento di riscatto

La difesa più duratura sia contro la richiesta di riscatto originale che contro le truffe successive come Ransom Busters è semplice: backup affidabili e testati. Se i file possono essere ripristinati da un backup pulito e offline, non c'è motivo di negoziare con gli attaccanti originali o di prendere in considerazione una terza parte che offre un recupero a pagamento. Questo elimina completamente la leva.

Il settore in generale si sta già muovendo in questa direzione. Come dettagliato nella copertura su come i pagamenti di ransomware stanno diminuendo a livello di settore, sempre meno organizzazioni scelgono di pagare richieste di estorsione, in parte grazie a pratiche di backup migliorate e in parte per la crescente consapevolezza che il pagamento non garantisce risultati. Le minacce in rapida evoluzione, come la variante ransomware Spirals capace di crittografare una rete in meno di 24 ore, sottolineano anche perché la prevenzione e il rilevamento rapido contano più di qualsiasi negoziazione post-incidente, reale o finta.

Cosa significa per te

Se la tua organizzazione viene mai colpita da ransomware, tratta qualsiasi offerta di recupero non richiesta, inclusa quella di un gruppo come Ransom Busters, con lo stesso sospetto che riserveresti agli attaccanti originali. Pagare migliaia di dollari a una parte non verificata sulla base di un'affermazione di server hackerati è una scommessa senza alcuna garanzia esecutiva. La strada più sicura e affidabile è mantenere backup offline, coinvolgere professionisti verificati di incident response e segnalare gli incidenti alle forze dell'ordine piuttosto che negoziare al buio.

Punti chiave

  • Tratta qualsiasi offerta di recupero ransomware non richiesta come una potenziale truffa finché non viene verificata in modo indipendente.
  • Non inviare mai pagamenti a una terza parte che afferma di avere accesso ai server senza prove documentate e termini contrattuali formali.
  • Mantieni backup testati e offline così le richieste di riscatto, reali o false, perdono completamente la loro leva.
  • Segnala gli incidenti ransomware alle forze dell'ordine e collabora con aziende di incident response consolidate piuttosto che con gruppi anonimi.
  • Osserva le tendenze del settore: mentre i pagamenti di ransomware diminuiscono complessivamente, attaccanti e opportunisti si stanno adattando con schemi come le offerte di recupero false, quindi resta vigile sulle nuove variazioni delle stesse tattiche di pressione.