Un gruppo chiamato WhiteArmor sta attirando l'attenzione dei ricercatori di sicurezza per una campagna di pressione rivolta alle aziende logistiche globali. Secondo il rapporto di origine, il gruppo ha avanzato richieste di riscatto di cinque milioni di dollari e pubblica le vittime su siti di leak basati su Tor. I ricercatori affermano inoltre che il gruppo sostiene che il suo encryptor sia quasi completo. Questo dettaglio è importante, perché suggerisce che l'estorsione di dati logistici tramite ransomware da parte di WhiteArmor potrebbe presto passare dal puro furto di dati a qualcosa di più dirompente.

Il materiale di origine è limitato e molti dettagli su vittime specifiche e sulla portata dei dati rubati restano non verificati. Di seguito è riportato ciò che è stato riferito, cosa potrebbe segnalare e cosa possono fare le persone comuni.

Come funziona il modello di estorsione di WhiteArmor

Secondo il rapporto, WhiteArmor non si comporta come un operatore ransomware tradizionale. Invece di bloccare i sistemi per prima cosa, il gruppo si è concentrato sull'esfiltrazione dei dati e poi sul fare pressione sulle vittime affinché paghino.

Il gruppo opera attraverso siti di leak basati su Tor. Le vittime sono elencate pubblicamente, insieme a contatori alla rovescia e richieste di riscatto. La struttura è progettata per creare urgenza: un orologio che ticchetta, un'azienda nominata e un prezzo. La cifra di cinque milioni di dollari è la richiesta riportata in relazione agli obiettivi logistici.

È importante trattare questi elenchi come affermazioni. Un nome su un sito di leak mostra ciò che un gruppo criminale dice di aver fatto, non ciò che è stato confermato in modo indipendente. La segnalazione di Whirlpool sul sito di leak di WhiteArmor è un esempio utile di come appaiono queste voci e del perché separiamo l'affermazione di estorsione dai fatti verificati.

Dal furto di dati alla doppia estorsione: cosa segnala l'encryptor

I ricercatori di sicurezza citati nel rapporto affermano che WhiteArmor sostiene che il suo encryptor sia quasi completo. Se vero, questo segnalerebbe un'escalation dalla pura esfiltrazione di dati a tattiche di doppia estorsione.

La doppia estorsione combina due minacce. Gli attaccanti rubano i dati e minacciano di pubblicarli, poi cifrano anche i sistemi in modo che la vittima non possa operare normalmente. Pagare può diventare più difficile da giustificare in entrambi i casi: una chiave di decrittazione non garantisce che i dati rubati vengano cancellati.

Per le aziende logistiche, la pressione aggiuntiva è ovvia. La spedizione e il trasporto merci dipendono da un coordinamento costante, quindi i tempi di inattività possono ripercuotersi su fornitori, vettori e clienti. Un gruppo con sia un sito di leak che un encryptor funzionante avrebbe più leve rispetto a uno che si affida solo ai dati. Si noti che l'affermazione sull'encryptor proviene dal gruppo stesso, come riportato dai ricercatori, quindi dovrebbe essere considerata con cautela fino a conferma.

Cosa possono esporre le violazioni logistiche sui consumatori

Le aziende logistiche detengono informazioni facili da trascurare. A seconda dell'azienda e dei sistemi coinvolti, le piattaforme di spedizione e consegna possono gestire nomi, indirizzi, numeri di telefono, indirizzi email e dettagli su ciò che viene inviato e ricevuto. Il rapporto di origine non specifica esattamente quali dati dei consumatori WhiteArmor abbia prelevato, quindi i lettori non dovrebbero presumere alcuna esposizione particolare. Ma la categoria generale di dati vale la pena di essere compresa.

Questo tipo di informazioni è utile ai truffatori. Un criminale che conosce il tuo nome, indirizzo e una consegna prevista può creare un falso messaggio convincente su un pacco mancato o una tassa doganale. Anche i dati parziali possono rendere il phishing personale.

Cosa significa per te

La maggior parte delle persone non avrà mai a che fare direttamente con WhiteArmor. La tua esposizione arriva indirettamente, attraverso le aziende che gestiscono le tue spedizioni. Potresti non sapere nemmeno quale azienda logistica si trovi dietro una determinata consegna, poiché i broker di trasporto e i fornitori di terze parti spesso operano dietro il rivenditore presso cui hai effettivamente ordinato.

Il rischio pratico riguarda meno i tuoi dispositivi e più le frodi successive: SMS di phishing, avvisi di consegna falsi e tentativi di takeover dell'account che usano dettagli trapelati per sembrare legittimi. Una VPN non ferma una violazione presso un'azienda che detiene i tuoi dati, quindi le difese utili qui sono l'igiene degli account e lo scetticismo.

Passi per proteggere i tuoi account e i tuoi dati personali

  • Rivedi gli account di spedizione e consegna. Controlla quali corrieri, marketplace e rivenditori detengono il tuo indirizzo e i dettagli di pagamento, ed elimina gli account che non usi più.
  • Usa password forti e uniche. Un gestore di password lo rende realistico. Il riutilizzo è ciò che trasforma una violazione in diverse.
  • Abilita l'autenticazione a due fattori. Preferisci un'app di autenticazione o una chiave hardware rispetto agli SMS, dove il servizio lo consente.
  • Tratta i messaggi di consegna con sospetto. Non cliccare sui link in SMS o email inaspettati riguardanti pacchi. Vai direttamente all'app o al sito ufficiale del corriere e inserisci tu stesso il numero di tracciamento.
  • Monitora attività insolite. Controlla le carte di pagamento e gli account email per addebiti o avvisi di accesso insoliti.
  • Limita ciò che condividi. Dove possibile, evita di salvare i dettagli di pagamento presso i servizi di consegna e usa solo le informazioni che una consegna richiede davvero.

Punti chiave

La campagna di estorsione di dati logistici tramite ransomware di WhiteArmor mostra come siti di leak pubblici, contatori alla rovescia e grandi richieste di riscatto vengano usati per forzare un pagamento, e come un encryptor dichiarato potrebbe aumentare ulteriormente la posta in gioco. Molti dettagli specifici restano non confermati, quindi è giustificata la cautela sia sulle affermazioni del gruppo sia su qualsiasi presupposto riguardo all'esposizione.

La risposta migliore è agire su ciò che puoi controllare. Rivedi oggi i tuoi account di spedizione e consegna, passa a credenziali forti e uniche e attiva l'autenticazione a due fattori. Per uno sguardo concreto su come emerge una segnalazione di WhiteArmor e su cosa resta non confermato, leggi la nostra analisi della segnalazione sul sito di leak di Whirlpool.