美国起诉一家勒索软件恢复公司：暗中向黑客支付赎金

这份起诉书于周三公开，指控佐哈尔·平哈西（Zohar Pinhasi）在2018年6月至2023年6月期间实施诈骗。他被控两项电信欺诈罪和一项共谋罪。

平哈西经营一家名为MonsterCloud的公司，对外宣传自己拥有一批专家，能在不支付赎金的情况下恢复被加密的数据。公司网站称使用“先进的解密技术和最前沿科技”。检方称，实际上公司并没有这类工具。平哈西及其同伙直接联系攻击者，支付赎金，然后把付给罪犯的金额与向受害者收取的金额之间的差额留下。这个差额正是诈骗的核心，把一次安全失败变成了公司管理层的个人收入来源。

两边的差价相当悬殊。

起诉书举了一个例子：平哈西据称向一个勒索团伙支付了约8200美元，随后向受害者收取15万美元的服务费。另一起发生在2021年10月前后的事件中，赎金约为236000美元，而客户被收取约38万美元。据The Register报道，涉案总额相当可观：向客户收取的费用超过1900万美元，其中超过800万美元直接流向了勒索软件运营者。

纽约东区联邦检察官小约瑟夫·诺切拉（Joseph Nocella Jr.）表示，平哈西“在为自己攫取巨额利润的同时，让客户再次受害”。联邦调查局助理局长小詹姆斯·C·巴纳克尔（James C. Barnacle Jr.）补充说，平哈西把受害者的危机变成了自己的利润中心。平哈西于周三向当局自首，作无罪答辩，并以200万美元保释金获释。

这套骗局依赖一个关于“恢复证明”的具体障眼法。据BleepingComputer报道，MonsterCloud会提供解密后的样本文件，让受害者相信数据已经安全。但起诉书显示，这些样本来自勒索软件运营方本身，进一步掩盖了已经支付赎金这一事实。部分合同确实披露公司可能与网络罪犯沟通，但检方认为，与攻击者打交道通常是第一步，而不是合同所暗示的最后手段。

此案反映出勒索软件生态中一个日益明显的趋势：事件发生后的响应阶段已成为诈骗的目标。随着勒索攻击持续激增，IT团队快速恢复的压力制造了容易被利用的环境。The Register指出，平哈西的网站上至少有一名收费代言人的推荐语。2019年5月，这名代言人曾就平哈西的经营方式向其提出疑问。据报道，平哈西当时承认MonsterCloud并不拥有任何可用于解密数据的专有技术。

近几个月，勒索软件的威胁整体加剧。据Chain Store Age报道，勒索攻击数量跃升29%，在第三季度创下季度新高。GuidePoint Security报告称，受害者数量同比上升75%。这些数字说明，可靠的备份策略和清晰的事件响应流程十分必要。越来越多的组织发现，自己的恢复选项不仅被最初的攻击破坏，也被它们雇来解决问题的人破坏。

安全专家多年来一直警告，勒索经济并不止于最初的文件加密。支付和谈判环节很复杂，受害者往往走投无路，愿意接受未经核实的服务商。MonsterCloud案是一个警示：甄别第三方响应团队很重要。主要威胁仍然是勒索团伙本身，但恢复服务这一层又带来了自己的风险和漏洞。

如果罪名成立，平哈西每项电信欺诈罪最高可判20年监禁。联邦调查局的调查仍在继续，起诉书指出存在“多名共谋者，其身份对大陪审团而言有的已知、有的未知”。此案是联邦执法部门瓦解勒索软件运营支撑体系（包括为其提供便利的服务商）的更广泛行动的一部分。

对企业来说，教训很清楚：在网络事件中求助外部力量时，尽职调查必不可少。合法恢复与欺诈性利用之间的界线可能很细，涉及的金额又很高。随着工业和关键基础设施领域持续面对上升的网络威胁，响应链条的可靠性同网络本身的安全一样重要。