USA oskarża firmę odzyskującą dane o potajemne płacenie okupów

Akt oskarżenia, ujawniony w środę, zarzuca Zoharowi Pinchasiemu prowadzenie procederu od czerwca 2018 do czerwca 2023 roku. Usłyszał dwa zarzuty oszustwa telekomunikacyjnego i jeden zarzut zmowy.

Pinhasi prowadził firmę MonsterCloud, która reklamowała się jako zespół ekspertów odzyskujących zaszyfrowane dane bez płacenia okupu. Strona internetowa firmy twierdziła, że stosuje „zaawansowane techniki deszyfrowania i najnowocześniejszą technologię”. W rzeczywistości, jak twierdzą prokuratorzy, firma nie miała takich narzędzi. Pinhasi i jego współpracownicy kontaktowali się bezpośrednio z napastnikami, płacili okup, a potem zatrzymywali różnicę między kwotą przekazaną przestępcom a sumą zafakturowaną ofiarom. Ta luka była sednem domniemanego oszustwa: awaria bezpieczeństwa zamieniła się w źródło dochodu dla kierownictwa firmy.

Rozbieżność była ogromna.

W jednym z przypadków opisanych w akcie oskarżenia Pinhasi miał zapłacić grupie ransomware około 8 200 dolarów. Ofierze wystawił rachunek na 150 000 dolarów. W innym zdarzeniu, około października 2021 roku, okup wyniósł około 236 000 dolarów, a klient dostał fakturę na około 380 000 dolarów. Według The Register łączne kwoty były znaczące: ponad 19 mln dolarów obciążeń dla klientów, z czego ponad 8 mln dolarów trafiło bezpośrednio do operatorów ransomware.

Prokurator USA Joseph Nocella Jr. z Eastern District of New York oświadczył, że Pinhasi „ponownie skrzywdził swoich klientów, wyciągając przy tym pokaźny zysk dla siebie”. Zastępca dyrektora FBI James C. Barnacle Jr. dodał, że Pinhasi zamienił kryzys ofiar we własne centrum zysku. Pinhasi oddał się w ręce organów ścigania w środę, nie przyznał się do winy i wyszedł za kaucją w wysokości 2 mln dolarów.

Proceder opierał się na konkretnym oszustwie z „dowodami odzyskania”. BleepingComputer podał, że MonsterCloud dostarczała odszyfrowane pliki próbne, żeby przekonać ofiary, iż ich dane są bezpieczne. Akt oskarżenia sugeruje jednak, że te próbki pochodziły od samych operatorów ransomware, co dodatkowo ukrywało fakt zapłacenia okupu. Niektóre umowy ujawniały, że firma może kontaktować się z cyberprzestępcami, ale prokuratorzy przekonują, że rozmowy z napastnikami były zwykle pierwszym krokiem, a nie ostatnią deską ratunku, jak sugerowały kontrakty.

Ta sprawa pokazuje rosnący trend w ekosystemie ransomware: faza reagowania po incydencie stała się celem oszustw. Ataki ransomware wciąż przybierają na sile, a presja na zespoły IT, żeby szybko odzyskać dane, tworzy środowisko podatne na wykorzystanie. The Register zauważył, że strona Pinchasiego zawierała referencje od co najmniej jednego opłacanego rzecznika. W maju 2019 roku rzecznik ten skontaktował się z Pinchasim z pytaniami o praktyki biznesowe. Pinhasi miał wtedy przyznać, że MonsterCloud nie ma żadnej własnej technologii do deszyfrowania danych.

Szeroki kontekst zagrożenia ransomware nasilił się w ostatnich miesiącach. Według raportu Chain Store Age liczba ataków ransomware wzrosła o 29% i osiągnęła nowy kwartalny rekord w trzecim kwartale. GuidePoint Security podał, że ofiar jest o 75% więcej niż rok wcześniej. Te statystyki pokazują, jak ważne są solidne strategie tworzenia kopii zapasowych i jasne procedury reagowania na incydenty. Organizacje coraz częściej przekonują się, że ich możliwości odzyskania danych ogranicza nie tylko sam atak, ale też podmioty, które wynajmują do jego naprawienia.

Eksperci od bezpieczeństwa od dawna ostrzegają, że gospodarka ransomware wykracza poza samo zaszyfrowanie plików. Faza płatności i negocjacji jest złożona, a ofiary są często tak zdesperowane, że przyjmują usługi od niesprawdzonych dostawców. Sprawa MonsterCloud to przestroga o tym, jak ważne jest sprawdzanie zewnętrznych zespołów reagowania. Głównym zagrożeniem pozostaje sama grupa ransomware, ale druga warstwa, czyli usługi odzyskiwania danych, wnosi własne ryzyka i słabości.

Pinchasiego czeka do 20 lat więzienia za każdy zarzut oszustwa telekomunikacyjnego, jeśli zostanie uznany za winnego. FBI kontynuuje śledztwo, a akt oskarżenia odnotowuje, że istnieje „wielu współsprawców, osób o tożsamości znanej i nieznanej ławie przysięgłych”. Sprawa jest częścią szerszych działań federalnych organów ścigania, które chcą rozbić infrastrukturę wspierającą operacje ransomware, w tym dostawców usług, którzy je ułatwiają.

Dla firm lekcja jest jasna: przy korzystaniu z zewnętrznej pomocy podczas cyberincydentu niezbędna jest należyta staranność. Granica między legalnym odzyskiwaniem danych a oszukańczym wykorzystaniem bywa cienka, a stawka finansowa wysoka. Sektory przemysłowe i infrastruktury krytycznej nadal mierzą się z rosnącymi zagrożeniami cybernetycznymi, a integralność łańcucha reagowania jest równie ważna jak bezpieczeństwo samej sieci.