Una campagna di estorsione basata sul furto di dati in Sud Corea ha prodotto un risultato che sulla carta sembra quasi comico: 38 organizzazioni sono state prese di mira, i dati sono stati rubati a 90 vittime e il bottino totale sarebbe stato di appena 226 dollari. Le cifre, riportate da Cybernews e tratte da rapporti di polizia, rendono il caso un utile momento di verifica della realtà. Gli hacker sudcoreani dediti all'estorsione dei dati non sempre ottengono un successo economico, ma ciò non significa che le persone i cui dati sono stati sottratti siano al sicuro.

Come si è svolta la campagna di estorsione da 226 dollari

Secondo il riepilogo di Cybernews, il gruppo ha fatto pressione su 38 organizzazioni dopo aver rubato dati a 90 vittime. Il guadagno è stato di 226 dollari. Il materiale di partenza a nostra disposizione non specifica chi abbia pagato, quante richieste di pagamento siano arrivate o quali fossero le richieste di riscatto, quindi non faremo supposizioni su questi dettagli.

Ciò che i numeri mostrano è un ampio divario tra sforzo e ricompensa. Rubare dati a decine di vittime e contattare decine di organizzazioni è un lavoro concreto, eppure il ritorno è stato minimo. Questo indica un'operazione mal eseguita, mal mirata, o entrambe le cose, e suggerisce che la maggior parte delle organizzazioni contattate non abbia ceduto.

Questo contrasta con il quadro più industrializzato dell'estorsione digitale. La nostra analisi del ransomware come modello di business descrive come il settore si sia allontanato da piccoli gruppi clandestini verso strutture più organizzate. Il caso sudcoreano si colloca all'estremo opposto: un promemoria del fatto che non ogni gruppo dedito all'estorsione è un'impresa criminale ben oliata.

Cosa rivelano i rapporti di polizia sui metodi degli hacker

L'articolo di Cybernews afferma che i risultati provengono da rapporti di polizia. La parte dell'articolo a cui abbiamo accesso è un riepilogo e non specifica i metodi tecnici utilizzati dagli hacker, quindi questo articolo non farà supposizioni su strumenti o punti di accesso specifici.

Ciò che si può dire dalle cifre riportate è questo:

  • Il modello era furto di dati più pressione. Il gruppo ha prima sottratto i dati, poi ha contattato le organizzazioni. Si tratta di un modello di estorsione comune, che non richiede la cifratura dei sistemi di una vittima.
  • La scala era modesta. Novanta vittime e 38 organizzazioni prese di mira sono ben lontani dalle campagne più grandi mai registrate.
  • La polizia è stata in grado di documentare l'attività. L'esistenza di rapporti di polizia con queste cifre suggerisce che gli investigatori avessero visibilità su quanto accaduto, incluso quanto poco denaro sia stato scambiato.

L'estorsione di basso livello spesso si basa su un presupposto: che un'organizzazione paghi rapidamente per evitare l'imbarazzo o problemi normativi. Quando le organizzazioni rifiutano, o semplicemente non rispondono, l'economia dell'operazione crolla. Sembra essere ciò che è accaduto in questo caso.

Perché un'estorsione fallita mette comunque a rischio i dati delle vittime

Un pagamento di 226 dollari non equivale a nessun danno. I dati sono stati comunque rubati a 90 vittime. Una volta che le informazioni lasciano i sistemi di un'organizzazione, le persone che vi sono descritte non hanno alcun controllo su ciò che accade dopo. Possono essere conservate, vendute, condivise o pubblicate, indipendentemente dal fatto che l'estorsione sia riuscita o meno.

C'è anche un rischio pratico per gli individui. I dati rubati, come nomi, indirizzi email o credenziali, possono essere riutilizzati in phishing, tentativi di appropriazione di account o truffe successive. Un gruppo che non è riuscito a guadagnare dall'organizzazione potrebbe comunque provare a guadagnare dai dati stessi.

La Sud Corea ha affrontato altri incidenti in cui sono state esposte informazioni personali. Ad esempio, abbiamo trattato come una violazione ai danni di un diplomatico sudcoreano abbia esposto 10.000 record presso un'accademia di formazione gestita dal governo. Attori diversi e circostanze diverse, ma la stessa lezione fondamentale: i tuoi dati spesso si trovano in sistemi che non gestisci.

Cosa significa questo per te

La maggior parte delle persone non può impedire che un'organizzazione venga violata. Ciò che puoi fare è limitare i danni se le tue informazioni fanno parte di un insieme di dati rubati.

  • Presumi che l'esposizione sia possibile. Se un'organizzazione con cui hai a che fare segnala una violazione, tratta con sospetto qualsiasi contatto che affermi di essere correlato ad essa.
  • Aspettati truffe successive. I gruppi dediti all'estorsione e altri criminali possono inviare email o messaggi direttamente alle persone utilizzando i dettagli di contatto rubati.
  • Non pagare e non interagire con le minacce. Se ricevi un messaggio che minaccia di pubblicare i tuoi dati, non rispondere e non inviare denaro. Questo caso mostra quanto poco possa effettivamente rendere l'estorsione, e pagare non garantisce mai la cancellazione.
  • Monitora l'attività degli account. Avvisi di accesso inaspettati, email di reimpostazione della password o nuovi dispositivi sui tuoi account meritano attenzione.

Come proteggere i tuoi account dai tentativi di estorsione

Le buone pratiche di base fanno molta strada, anche contro gli attaccanti opportunisti:

  1. Usa una password unica per ogni account. Un gestore di password rende tutto questo realistico. Se un servizio rivela le tue credenziali, gli altri restano protetti.
  2. Attiva l'autenticazione a più fattori. Preferisci un'app di autenticazione o una chiave hardware rispetto agli SMS, ove possibile.
  3. Cambia le password dopo un avviso di violazione. Fallo sul servizio interessato e ovunque tu abbia riutilizzato la stessa password.
  4. Limita ciò che condividi. Fornisci alle organizzazioni solo i dati personali di cui hanno genuinamente bisogno. I dati che non sono mai stati raccolti non possono essere rubati.
  5. Fai attenzione ai messaggi inaspettati. Non cliccare su link né aprire allegati in messaggi che fanno riferimento a una violazione o a una minaccia. Vai direttamente al sito web ufficiale.
  6. Esamina i vecchi account. Elimina gli account che non usi più, così meno organizzazioni conservano le tue informazioni.

La Sud Corea ha anche visto strumenti di sicurezza diventare una superficie di attacco, come nel caso dello zero-day di AnySign4PC che ha trasformato uno strumento bancario coreano in un'arma. Mantenere il software aggiornato è un'altra abitudine che vale la pena mantenere.

Il punto chiave

La cifra di 226 dollari è una bella storia, ma non è un motivo per rilassarsi. Gli hacker sudcoreani dediti all'estorsione dei dati non sono riusciti a guadagnare molto in questo caso, eppure 90 vittime hanno comunque subito il furto dei propri dati. Proteggi i tuoi account, usa password uniche con autenticazione a più fattori e condividi il minor numero possibile di informazioni personali. Per un contesto più ampio, leggi la nostra analisi del modello di business del ransomware e dell'estorsione e i nostri report su altre violazioni sudcoreane.