USA klagen angeblichen Ransomware-Helfer an, der heimlich 8 Millionen Dollar Lösegeld zahlte

Die Anklageschrift wurde am Mittwoch veröffentlicht. Sie wirft Zohar Pinhasi vor, zwischen Juni 2018 und Juni 2023 einen Betrug betrieben zu haben. Ihm werden zwei Fälle von Überweisungsbetrug und eine Verschwörung zur Last gelegt.

Pinhasi leitete MonsterCloud. Das Unternehmen bewarb sich als Team von Fachleuten, das verschlüsselte Daten zurückholen könne, ohne Lösegeld zu zahlen. Auf der Website war von „fortschrittlichen Entschlüsselungstechniken und modernster Technologie“ die Rede. Die Staatsanwaltschaft behauptet, das Unternehmen habe über solche Werkzeuge nie verfügt. Stattdessen nahmen Pinhasi und seine Mitarbeiter direkt Kontakt zu den Angreifern auf und zahlten das Lösegeld. Die Differenz zwischen dem an die Kriminellen gezahlten Betrag und dem den Opfern in Rechnung gestellten Betrag behielten sie ein. Genau diese Lücke bildete den Kern des mutmaßlichen Betrugs. Aus einem Sicherheitsversagen wurde so eine persönliche Einnahmequelle für die Führung des Unternehmens.

Die Kluft war deutlich.

In einem in der Anklage genannten Fall zahlte Pinhasi einer Ransomware-Bande angeblich rund 8.200 Dollar. Dem Opfer stellte er für die Dienstleistung dann 150.000 Dollar in Rechnung. In einem anderen Vorfall um Oktober 2021 betrug die Lösegeldzahlung etwa 236.000 Dollar. Dem Kunden wurden rund 380.000 Dollar berechnet. Laut The Register waren die Summen erheblich: mehr als 19 Millionen Dollar an Kundenrechnungen, davon gingen über 8 Millionen Dollar direkt an die Betreiber der Erpressungssoftware.

Der Bundesstaatsanwalt für den Eastern District of New York, Joseph Nocella Jr., erklärte, Pinhasi habe „seine Kunden erneut zu Opfern gemacht und dabei selbst kräftig verdient“. Der stellvertretende FBI-Direktor James C. Barnacle Jr. ergänzte, Pinhasi habe die Krise der Opfer in ein eigenes Profitcenter verwandelt. Pinhasi stellte sich am Mittwoch den Behörden und bekannte sich nicht schuldig. Er wurde gegen eine Kaution von 2 Millionen Dollar freigelassen.

Der Betrug stützte sich auf eine gezielte Täuschung mit sogenannten Wiederherstellungsnachweisen. BleepingComputer berichtete, MonsterCloud habe entschlüsselte Beispieldateien vorgelegt, um die Opfer davon zu überzeugen, dass ihre Daten sicher seien. Die Anklage legt nahe, dass diese Proben von den Ransomware-Betreibern selbst stammten. Damit blieb verborgen, dass ein Lösegeld geflossen war. In einigen Verträgen stand, das Unternehmen könne mit Cyberkriminellen in Kontakt treten. Die Staatsanwaltschaft argumentiert jedoch, der Umgang mit den Angreifern sei meist der erste Schritt gewesen, nicht das letzte Mittel, wie die Verträge es nahelegten.

Der Fall zeigt einen wachsenden Trend im Ransomware-Ökosystem. Die Phase nach dem Angriff ist zum Ziel für Betrug geworden. Ransomware-Angriffe nehmen weiter zu. Der Druck auf IT-Teams, schnell wiederherzustellen, schafft ein Umfeld, das sich ausnutzen lässt. The Register merkte an, auf Pinhasis Website hätten Empfehlungen von mindestens einem bezahlten Fürsprecher gestanden. Im Mai 2019 wandte sich dieser Fürsprecher mit Fragen zu Pinhasis Geschäftspraktiken an ihn. Pinhasi soll damals eingeräumt haben, dass MonsterCloud über keine eigene Technologie zur Entschlüsselung der Daten verfügte.

Die Bedrohung durch Ransomware hat in den vergangenen Monaten weiter zugenommen. Laut einem Bericht von Chain Store Age stiegen die Ransomware-Angriffe um 29 Prozent und erreichten im dritten Quartal einen neuen Höchstwert. GuidePoint Security meldete, die Zahl der Opfer sei im Jahresvergleich um 75 Prozent gestiegen. Diese Zahlen zeigen, wie wichtig solide Backup-Strategien und klare Abläufe für den Ernstfall sind. Organisationen stellen zunehmend fest, dass ihre Wiederherstellungsoptionen beschädigt sind. Der ursprüngliche Angriff ist nicht die einzige Ursache. Auch die Akteure, die sie zur Behebung beauftragen, sind es.

Sicherheitsexperten warnen seit Langem, dass die Ransomware-Wirtschaft über die erste Verschlüsselung der Dateien hinausreicht. Die Phase der Zahlung und der Verhandlungen ist kompliziert. Opfer sind oft verzweifelt genug, um Dienste ungeprüfter Anbieter anzunehmen. Der Fall MonsterCloud ist eine Warnung, wie wichtig die Prüfung externer Reaktionsteams ist. Die Ransomware-Gruppe selbst bleibt die Hauptbedrohung. Die zweite Ebene der Wiederherstellungsdienste bringt eigene Risiken und Schwachstellen mit sich.

Pinhasi drohen bei einer Verurteilung für jeden Fall des Überweisungsbetrugs bis zu 20 Jahre Haft. Das FBI führt die Ermittlungen weiter. In der Anklage heißt es, es gebe „mehrere Mitverschwörer, Personen, deren Identität der Grand Jury sowohl bekannt als auch unbekannt ist“. Der Fall ist Teil eines breiteren Vorgehens der Bundesbehörden gegen die Infrastruktur hinter Ransomware-Operationen. Dazu gehören auch die Dienstleister, die sie möglich machen.

Für Unternehmen ist die Lehre klar: Wer bei einem Cybervorfall externe Hilfe holt, muss den Anbieter gründlich prüfen. Die Grenze zwischen legitimer Wiederherstellung und betrügerischer Ausbeutung kann schmal sein. Es geht um viel Geld. Industrie und kritische Infrastruktur sehen sich weiter steigenden Cyberbedrohungen ausgesetzt. Die Integrität der Reaktionskette ist genauso wichtig wie die Sicherheit des Netzwerks selbst.