Un'agenzia USA paga 1 milione di dollari a Kairos dopo il furto di 2 TB di dati

Un pagamento a sei cifre senza ransomware

Un'agenzia del governo statunitense ha pagato circa 1 milione di dollari in Bitcoin a un gruppo di estorsione dati noto come Kairos, secondo un caso di studio pubblicato da Ransom-ISAC. Il pagamento, effettuato intorno al 13 giugno 2025, si distingue perché Kairos non ha utilizzato ransomware per bloccare i sistemi. Il gruppo avrebbe invece rubato più di 2 TB di dati sensibili e minacciato di pubblicarli se l'agenzia non avesse pagato.

Questa distinzione è importante. Gli attacchi ransomware tradizionali cifrano i file e richiedono un pagamento per la chiave di decrittazione, causando un'interruzione operativa visibile e difficile da nascondere. L'estorsione dati funziona in modo diverso: gli aggressori esfiltrano silenziosamente i file e poi minacciano di esporli pubblicamente. Non ci sono reti bloccate, né richieste di riscatto su schermi congelati, solo un ultimatum privato e un conto alla rovescia. Questo rende questi incidenti più facili da tenere nascosti al pubblico e più difficili da verificare in modo indipendente per ricercatori esterni o autorità di controllo.

Chi è Kairos e perché questo approccio funziona?

Kairos sembra specializzarsi esattamente in questo schema: violare un'organizzazione, esfiltrare più dati possibile e poi monetizzare la minaccia di esposizione piuttosto che quella del fermo operativo. I ricercatori di sicurezza che seguono il gruppo non hanno confermato che Kairos abbia mai utilizzato ransomware, il che suggerisce una scelta strategica deliberata. Gli attacchi di sola estorsione possono essere più economici da eseguire, più difficili da rilevare in tempo reale e spesso più rapidi da risolvere finanziariamente, poiché le vittime non devono ricostruire i sistemi cifrati, devono solo far cessare la fuga di dati.

Per un'agenzia governativa, la decisione di pagare è particolarmente delicata. Gli enti federali, statali e locali generalmente scoraggiano i pagamenti di riscatto, sostenendo che finanziano attacchi futuri e non offrono alcuna garanzia che i dati rubati vengano effettivamente cancellati. Eppure, quando l'alternativa è la pubblicazione di documenti sensibili, alcune agenzie apparentemente decidono che il rischio immediato superi il precedente a lungo termine. Il rapporto di Ransom-ISAC non identifica quale agenzia sia stata coinvolta, che tipo di dati siano stati rubati o se il pagamento abbia effettivamente fermato la pubblicazione, tutti dettagli che normalmente determinerebbero la serietà con cui il pubblico dovrebbe trattare questo incidente.

Perché il pagamento governativo solleva preoccupazioni sulla privacy

Il problema centrale della privacy non è solo che si sia verificata una violazione; è che il pubblico ne è venuto a conoscenza tramite un rapporto di threat intelligence piuttosto che dall'agenzia stessa. La trasparenza governativa sugli incidenti legati ai dati è nella migliore delle ipotesi incoerente, e gli attacchi di sola estorsione sono particolarmente adatti a rimanere sotto traccia. A differenza di un attacco ransomware che blocca i servizi e impone un riconoscimento pubblico, un pagamento silenzioso per il furto di dati può essere risolto e chiuso senza mai diventare una notizia, a meno che una terza parte come Ransom-ISAC non lo porti alla luce.

Questo schema riecheggia tensioni più ampie sulla gestione e divulgazione dei dati governativi. Le stesse domande che animano i dibattiti sui warrant canary, ovvero quanta visibilità abbia effettivamente il pubblico su ciò che accade ai propri dati una volta che sono in custodia governativa o aziendale, si applicano direttamente qui. Se un'agenzia può pagare silenziosamente un gruppo di estorsione senza rivelare la portata di una violazione, le persone colpite potrebbero non sapere mai che le loro informazioni sono state compromesse, per non parlare di sapere se alla fine siano state comunque divulgate.

C'è anche un collegamento con i dibattiti in corso sulla politica di protezione dei dati. Le discussioni sul CLARITY Act e le backdoor di crittografia evidenziano come le decisioni legislative sull'accesso ai dati e sugli standard di crittografia influenzino direttamente quanto siano esposti i dati sensibili in primo luogo. Standard di crittografia più deboli o punti di accesso obbligatori rendono il furto di dati più facile e pagamenti come questo più probabili in futuro.

Cosa significa per te

Se interagisci con qualsiasi agenzia del governo statunitense, tramite dichiarazioni fiscali, domande di sussidio, licenze o registri pubblici, i tuoi dati potrebbero trovarsi in sistemi che sono obiettivi di questo tipo di tentativi di estorsione. Il fatto che questo pagamento sia diventato pubblico solo tramite un rapporto di threat intelligence di terze parti, piuttosto che tramite una divulgazione ufficiale, significa che gli individui colpiti da una violazione potrebbero non venirne a conoscenza attraverso i canali normali. Potresti non ricevere una notifica di violazione tempestivamente, o affatto, se l'agenzia coinvolta sceglie una risoluzione silenziosa invece della divulgazione pubblica.

Questo non significa che sia giustificato il panico. Significa trattare i dati in possesso del governo allo stesso modo in cui tratteresti qualsiasi altro account sensibile: presumere che alla fine potrebbero essere esposti e pianificare di conseguenza, invece di aspettare un avviso ufficiale che potrebbe non arrivare mai.

Azioni concrete da intraprendere

• Monitora i tuoi rapporti di credito e considera un congelamento del credito se in passato hai inviato informazioni sensibili a un'agenzia governativa, poiché le notifiche di violazione non sono sempre tempestive o complete.
• Usa password uniche e robuste per tutti i portali governativi (tasse, sussidi, licenze) e attiva l'autenticazione a più fattori dove disponibile.
• Segui ricercatori di sicurezza indipendenti e gruppi di threat intelligence, non solo le dichiarazioni ufficiali delle agenzie, poiché incidenti come questo spesso emergono prima tramite segnalazioni esterne.
• Sostieni le richieste di requisiti più chiari per la divulgazione delle violazioni per gli enti del settore pubblico, poiché i pagamenti per estorsione dati possono altrimenti rimanere nascosti alle persone effettivamente coinvolte.

Il pagamento di 1 milione di dollari a Kairos ricorda che l'estorsione dati non ha bisogno del ransomware per essere efficace e che la trasparenza governativa su questi incidenti ha ancora molta strada da fare. Rimanere informati su come funzionano questi attacchi, e su come avvengono le divulgazioni, è uno dei pochi strumenti a disposizione degli individui per proteggersi quando i propri dati sono nelle mani di altri.