Un tribunale svizzero ha emesso una condanna a quasi 13 anni per un uomo ucraino di 52 anni riconosciuto colpevole di aver sviluppato il ceppo ransomware Nefilim, chiudendo un caso che risale a un attacco informatico del 2020 contro Stadler Rail. La sentenza rappresenta uno dei procedimenti penali più significativi in materia di ransomware celebrati in un'aula di tribunale europea e offre una finestra utile su come funzionano realmente le operazioni di ransomware e su cosa succede quando le vittime rifiutano di pagare.
Da incidente malware a condanna per ransomware
Quando Stadler Rail fu colpita nel 2020, l'azienda inizialmente non usò la parola "ransomware". All'epoca, descrisse l'incidente solo come un malware che "molto probabilmente ha portato a una fuga di dati", e disse che gli attaccanti tentarono di estorcere una grossa somma di denaro, minacciando di pubblicare i file rubati se il riscatto non fosse stato pagato. Stadler si rifiutò di pagare allora, così come ha fatto in seguito a un incidente separato quest'anno. Quel rifiuto ha preparato il terreno per un'indagine penale che alla fine ha identificato l'individuo dietro il codice ransomware Nefilim utilizzato nell'attacco.
Nefilim faceva parte di un'ondata di famiglie di ransomware che combinavano la crittografia dei file con il furto di dati, una tattica spesso chiamata doppia estorsione. Invece di limitarsi a bloccare i sistemi di una vittima, gli operatori esfiltravano prima i file sensibili, poi minacciavano di pubblicarli se la vittima non avesse pagato. Questo approccio metteva ulteriore pressione sulle organizzazioni, poiché anche una solida strategia di backup non poteva proteggere dalle conseguenze reputazionali e normative di una fuga di dati pubblica. La nostra precedente copertura del processo ransomware di Zurigo ha dettagliato come i pubblici ministeri hanno costruito il loro caso, chiedendo una pena di 12 anni prima che il tribunale imponesse infine una condanna di quasi 13 anni.
Perché questo caso conta oltre la Svizzera
I procedimenti penali per ransomware che si concludono con lunghe pene detentive restano relativamente rari, in gran parte perché molti operatori lavorano da giurisdizioni che rendono difficile l'estradizione o l'arresto. Questo caso è notevole proprio perché ha portato a un individuo identificabile, a un processo penale e a una condanna sostanziale emessa da un tribunale svizzero. Dimostra che le forze dell'ordine e i pubblici ministeri possono, in alcune circostanze, risalire con successo dal codice ransomware al suo sviluppatore e ritenerlo responsabile anni dopo l'attacco originale.
Il caso rafforza anche un modello che emerge ripetutamente negli incidenti ransomware: le vittime che rifiutano di pagare non affrontano necessariamente conseguenze peggiori, e pagare un riscatto non offre alcuna garanzia che i dati rubati non vengano comunque divulgati. La decisione di Stadler Rail di non pagare nel 2020, e di nuovo quest'anno, è in linea con le indicazioni dei ricercatori di sicurezza e delle agenzie di contrasto, che generalmente sconsigliano di finanziare le operazioni di ransomware, poiché il pagamento non annulla una violazione e spesso finanzia ulteriori attività criminali.
Cosa significa per te
Per la maggior parte dei lettori, questo caso non è una minaccia diretta, ma è un promemoria di come funzionano realmente le operazioni di ransomware dietro le quinte. Attacchi come quello contro Stadler Rail tipicamente iniziano con credenziali rubate, email di phishing o vulnerabilità software sfruttate, non con una forza inarrestabile. Gli individui che scrivono e distribuiscono il codice ransomware sono persone che possono, in alcuni casi, essere identificate, perseguite e condannate, anche anni dopo che un attacco si è verificato.
Se lavori in un'organizzazione che gestisce dati sensibili, questo caso sottolinea l'importanza di presumere che qualsiasi intrusione riuscita possa comportare furto di dati, non solo crittografia. Le strategie di backup da sole non bastano. Le organizzazioni hanno bisogno di piani di risposta agli incidenti che tengano conto della possibilità di file divulgati, e devono decidere la loro posizione sui pagamenti di riscatto prima che un attacco avvenga, non durante il caos dello stesso. Per gli utenti individuali, la lezione è simile a quella che abbiamo a lungo raccomandato: password forti e uniche, autenticazione a più fattori e gestione cauta degli allegati e dei link nelle email restano le difese più efficaci contro le tecniche di accesso iniziale che rendono possibili gli attacchi ransomware.
Punti chiave
Questa sentenza dimostra che gli operatori di ransomware non sono intoccabili e che un paziente lavoro investigativo può alla fine collegare un pezzo di codice malevolo alla persona che l'ha scritto. Per le organizzazioni, il caso rafforza il valore di rifiutare le richieste di riscatto e di prepararsi a scenari di fuga di dati invece di presumere che la crittografia sia l'unico rischio. Per gli individui, è un promemoria che gli attacchi ransomware iniziano quasi sempre con un banale fallimento di sicurezza, una password debole, un sistema non aggiornato o un tentativo di phishing riuscito, tutti prevenibili con una basic security hygiene. Man mano che sempre più casi di ransomware arrivano nei tribunali, aspettiamoci un esame continuo di come queste operazioni sono finanziate, gestite e infine smantellate.
