Gli Usa accusano una società di recupero dati di aver pagato in segreto 8 milioni di dollari di riscatti

L'atto d'accusa è stato reso pubblico mercoledì. Accusa Zohar Pinhasi di aver messo in piedi una frode da giugno 2018 a giugno 2023. Deve rispondere di due capi d'imputazione per frode telematica e uno per associazione a delinquere.

Pinhasi guidava MonsterCloud. L'azienda si presentava come un gruppo di esperti capaci di recuperare dati cifrati senza pagare riscatti. Il sito web sosteneva di usare "tecniche di decrittazione avanzate e tecnologia all'avanguardia". Secondo i procuratori, l'azienda non aveva nulla del genere. Pinhasi e i suoi collaboratori contattavano invece direttamente gli attaccanti e pagavano i riscatti. Tenevano la differenza tra la somma versata ai criminali e quella fatturata alle vittime. Su questo scarto si reggeva la presunta frode, che trasformava un fallimento della sicurezza in un'entrata personale per la dirigenza dell'azienda.

La sproporzione era netta.

In un caso citato nell'atto d'accusa, Pinhasi avrebbe pagato a una gang di ransomware circa 8.200 dollari. Alla vittima ha poi fatturato 150.000 dollari per il servizio. In un altro episodio, intorno a ottobre 2021, il riscatto pagato è stato di circa 236.000 dollari. Al cliente è stata presentata una fattura di circa 380.000 dollari. Secondo The Register, le cifre complessive sono ingenti: oltre 19 milioni di dollari addebitati ai clienti, con più di 8 milioni finiti direttamente agli operatori del ransomware.

Joseph Nocella Jr., procuratore federale per il Distretto Orientale di New York, ha dichiarato che Pinhasi ha "vittimizzato di nuovo i suoi clienti, ricavandone un lauto guadagno personale". James C. Barnacle Jr., vicedirettore dell'FBI, ha aggiunto che Pinhasi ha trasformato la crisi delle vittime in un centro di profitto per sé. Pinhasi si è consegnato alle autorità mercoledì e si è dichiarato non colpevole. È stato rilasciato su cauzione di 2 milioni di dollari.

Il raggiro si basava su un inganno specifico, quello delle "prove di recupero". BleepingComputer ha riferito che MonsterCloud forniva file di esempio decrittati per convincere le vittime che i loro dati erano al sicuro. L'atto d'accusa suggerisce che questi campioni provenissero dalle stesse organizzazioni ransomware. Così veniva nascosto il fatto che un riscatto era stato pagato. Alcuni contratti ammettevano che l'azienda potesse comunicare con i criminali informatici. I procuratori sostengono però che trattare con gli attaccanti fosse di solito il primo passo, non l'ultima risorsa come lasciavano intendere i contratti.

Il caso mette in luce una tendenza crescente nell'ecosistema del ransomware. La fase di risposta all'incidente è diventata un bersaglio per le frodi. Gli attacchi ransomware continuano ad aumentare. La pressione sui team IT perché recuperino in fretta crea un terreno fertile per lo sfruttamento. The Register ha notato che il sito di Pinhasi conteneva testimonianze di almeno un portavoce retribuito. A maggio 2019 quel portavoce contattò Pinhasi con domande sulle sue pratiche commerciali. Secondo quanto riportato, Pinhasi ammise allora che MonsterCloud non possedeva alcuna tecnologia proprietaria per decrittare i dati.

Il quadro più ampio delle minacce ransomware si è intensificato negli ultimi mesi. Secondo un rapporto di Chain Store Age, gli attacchi ransomware sono aumentati del 29% toccando un nuovo massimo trimestrale nel terzo trimestre. GuidePoint Security ha riferito che le vittime sono cresciute del 75% rispetto all'anno precedente. Questi dati mostrano quanto siano necessari solidi piani di backup e protocolli chiari di risposta agli incidenti. Le organizzazioni scoprono sempre più spesso che le loro opzioni di recupero sono compromesse. L'attacco iniziale non è l'unica causa: lo sono anche gli attori che assumono per risolverlo.

Gli esperti di sicurezza avvertono da tempo che l'economia del ransomware va oltre la cifratura iniziale dei file. La fase di pagamento e negoziazione è complessa. Le vittime sono spesso abbastanza disperate da accettare servizi di fornitori non verificati. Il caso MonsterCloud è un monito sull'importanza di verificare i team di risposta esterni. Il gruppo ransomware resta la minaccia principale. Il secondo livello, quello dei servizi di recupero, porta con sé rischi e vulnerabilità propri.

Se condannato, Pinhasi rischia fino a 20 anni di reclusione per ciascun capo d'imputazione di frode telematica. L'FBI prosegue le indagini. L'atto d'accusa rileva che ci sono "più co-cospiratori, persone la cui identità è nota e non nota al Gran Giurì". Il caso rientra in uno sforzo più ampio delle forze dell'ordine federali per smantellare l'infrastruttura che sostiene le operazioni ransomware, compresi i fornitori di servizi che le facilitano.

Per le aziende la lezione è chiara: la dovuta diligenza è essenziale quando si cerca aiuto esterno durante un incidente informatico. Il confine tra recupero legittimo e sfruttamento fraudolento può essere sottile. La posta in gioco economica è alta. I settori industriale e delle infrastrutture critiche continuano a fronteggiare minacce informatiche in aumento. L'integrità della filiera di risposta conta quanto la sicurezza della rete stessa.