In questo articolo Indice dei contenuti 2 sezioni
Il titolare di MonsterCloud, società della Florida specializzata nel recupero dei dati dopo gli attacchi ransomware, è finito sotto accusa negli Stati Uniti. Secondo i procuratori avrebbe ingannato le vittime pagando di nascosto i cybercriminali per ottenere le chiavi di decrittazione, mentre ai clienti raccontava di usare una tecnologia proprietaria in grado di sbloccare i file cifrati senza scendere a patti con nessuno.
Si chiama Zohar Pinhasi, ha 50 anni ed è conosciuto anche con gli pseudonimi di “Zack Silver” e “Zack Green”. Il 23 settembre un gran giurì federale del Distretto Orientale di New York lo ha formalmente incriminato e mercoledì l’uomo è comparso davanti al tribunale federale di Brooklyn. Le imputazioni sono pesanti: un capo d’accusa per associazione finalizzata alla frode telematica e altri due per frode telematica vera e propria, tutti legati a un presunto sistema di decrittazione che sarebbe rimasto attivo da giugno 2018 a giugno 2023. Pinhasi si è consegnato spontaneamente, si è dichiarato non colpevole ed è stato rilasciato dietro una cauzione di circa 1,7 milioni di euro.
Il meccanismo contestato a MonsterCloud
Stando all’atto d’accusa, l’azienda pubblicizzava strumenti e tecniche capaci di recuperare i dati criptati senza dover versare un centesimo ai criminali informatici. Una promessa che, per l’accusa, non aveva alcun fondamento. Pinhasi e i suoi complici non avrebbero mai posseduto una vera tecnologia di decrittazione proprietaria. Il loro metodo era molto più semplice e consisteva nel contattare direttamente gli autori degli attacchi, pagare il riscatto e poi usare le chiavi ricevute per restituire i file ai clienti.
L’incriminazione riconosce che alcuni contratti di MonsterCloud segnalavano la possibilità di comunicare con i cybercriminali o perfino di pagarli. Quelle stesse clausole però specificavano che il contatto con gli aggressori sarebbe avvenuto solo come ultima spiaggia, cioè quando ogni altro metodo di recupero fosse fallito. Nella pratica, sostengono i procuratori, trattare con le gang era quasi sempre il primo passo. C’è poi un altro dettaglio piuttosto pesante: per convincere le vittime della propria efficacia la società mostrava dei file campione già decrittati come “prove di recupero”, ma anche quei campioni arrivavano proprio dagli operatori del ransomware.
Il procuratore federale Joseph Nocella Jr. è stato molto duro. Secondo lui l’imputato, dichiarando falsamente di decifrare i dati senza pagare i ricattatori, avrebbe trasformato i suoi clienti in vittime per la seconda volta, intascando nel frattempo un profitto consistente. Il suo ufficio, ha aggiunto, perseguirà con decisione sia chi lancia attacchi contro gli americani da ogni parte del mondo sia chi trae cinicamente vantaggio da queste attività criminali.
Riscatti gonfiati e milioni di euro in gioco
Il cuore della vicenda sta tutto nella differenza tra quanto veniva pagato agli hacker e quanto veniva fatturato ai clienti. In uno degli episodi citati Pinhasi avrebbe versato a una gang circa 7.000 euro, chiedendo poi alla vittima qualcosa come 130.000 euro. In un altro caso il riscatto si aggirava intorno ai 200.000 euro mentre al cliente ne sarebbero stati addebitati circa 325.000. Nel complesso, secondo l’accusa, il gruppo avrebbe gestito pagamenti di riscatti per oltre 7 milioni di euro, facendosi pagare più di 16 milioni da centinaia di aziende tra Stati Uniti e Canada per servizi di recupero e bonifica. In caso di condanna Pinhasi rischia fino a 20 anni di carcere. I suoi avvocati, Christopher Clark e Rodney Villazor, sono stati interpellati sulle accuse ma per il momento non hanno risposto.
I sospetti su MonsterCloud non nascono oggi. Già nel 2019 un’inchiesta giornalistica aveva sollevato dubbi molto simili, raccontando che la società a volte pagava i criminali pur dichiarando di offrire un’alternativa al riscatto. Il ricercatore di sicurezza Fabian Wosar, insieme a un collega, aveva creato un ransomware fittizio e si era rivolto a diverse aziende di recupero fingendosi una vittima. Le note di riscatto fornite contenevano indirizzi email controllati dai due ricercatori e quelle caselle avevano presto iniziato a ricevere messaggi anonimi che proponevano di pagare. Wosar era riuscito a ricondurre le richieste alle società di recupero, tra cui MonsterCloud e Proven Data. All’epoca MonsterCloud aveva assicurato di poter recuperare i file senza dire alla presunta vittima che intendeva pagare l’aggressore. Pinhasi aveva negato di aver promesso in anticipo la decrittazione e di aver ingannato i clienti, spiegando che i metodi cambiavano da caso a caso e rifiutandosi di svelarli perché, a suo dire, si trattava di un segreto industriale.
Fonte: TecnoAndroid