Sgominata in Ucraina una Cyber Gang Ransomware

Un'operazione di polizia internazionale di grande portata ha portato allo smantellamento di una cyber gang ucraina specializzata in ransomware, che ha causato danni per centinaia di milioni di euro a livello globale. Coordinata da Europol ed Eurojust, questa operazione ha coinvolto le forze dell'ordine di sette paesi europei e degli Stati Uniti.

Il 28 novembre, Europol ha annunciato l'arresto del capo della banda, un 32enne, e di quattro suoi principali complici, seguito da una serie di perquisizioni in 30 proprietà nelle regioni di Kiev, Cherkasy, Rivne e Vinnytsia in Ucraina. La banda è stata collegata a una rete di attacchi ransomware in 71 paesi, principalmente contro grandi corporazioni, utilizzando malware sofisticati come LockerGoga, MegaCortex, HIVE e Dharma.

Gli attaccanti guadagnavano accesso alle reti delle vittime tramite attacchi brute force, iniezioni SQL e email di phishing con allegati dannosi. Una volta infiltrati, rimanevano non rilevati espandendo il loro accesso con strumenti come TrickBot, Cobalt Strike e PowerShell Empire. La strategia consisteva nell'criptare i server delle aziende colpite, chiedendo poi riscatti in criptovaluta, che venivano poi riciclati.

Questa azione segue gli arresti effettuati nel 2021 come parte della stessa indagine. Da allora, Europol e le autorità norvegesi hanno condotto analisi approfondite sui dispositivi sequestrati in Ucraina, contribuendo all'identificazione degli sospetti arrestati la scorsa settimana. La collaborazione internazionale e l'uso di tecnologie avanzate hanno giocato un ruolo chiave nel successo di questa operazione, dimostrando l'efficacia della cooperazione transfrontaliera nella lotta contro la criminalità informatica.

Perché un arresto non chiude il problema

Le operazioni internazionali contro i gruppi ransomware hanno un effetto reale ma temporaneo. Il modello criminale è organizzato come una filiera: chi sviluppa il malware, chi vende gli accessi iniziali, chi conduce l'attacco, chi ricicla i pagamenti. Colpire un anello non elimina gli altri, e i gruppi si ricompongono sotto nomi diversi nel giro di mesi.

Per un'impresa, la conseguenza pratica è che la protezione non può dipendere dall'attività investigativa: deve reggere autonomamente.

Il ransomware moderno usa la doppia estorsione

È il cambiamento che ha reso insufficiente la sola strategia dei backup. Prima di cifrare i sistemi, gli attaccanti esfiltrano i dati. Poi chiedono due riscatti: uno per la chiave di decifratura, l'altro per non pubblicare i dati rubati.

Significa che anche un'azienda con backup perfetti e capace di ripristinare in poche ore resta esposta alla seconda leva — la pubblicazione di dati di clienti, dipendenti o progetti. Le conseguenze qui non sono tecniche ma legali e reputazionali, e coinvolgono gli obblighi in materia di protezione dei dati personali.

Perché non pagare è quasi sempre la decisione giusta

Le forze dell'ordine europee sono concordi nello sconsigliare il pagamento, per tre ragioni concrete: non c'è alcuna garanzia di ricevere una chiave funzionante, il pagamento non impedisce la pubblicazione dei dati già esfiltrati, e finanzia direttamente il gruppo rendendo probabile un secondo attacco alla stessa vittima. A questo si aggiunge che pagare soggetti sottoposti a misure restrittive può configurare profili di responsabilità.

Un'alternativa concreta prima di considerare il pagamento: il progetto No More Ransom, promosso da Europol insieme a operatori privati, mette a disposizione gratuitamente strumenti di decifratura per numerose famiglie di ransomware.

Il ruolo della polizza cyber

Le coperture cyber per le imprese intervengono sulle conseguenze economiche dell'attacco — ripristino dei sistemi, interruzione dell'attività, gestione della crisi, notifica agli interessati, responsabilità verso terzi — e includono spesso l'accesso immediato a un team specializzato di risposta agli incidenti.

Il pagamento del riscatto, dove previsto, è in genere una garanzia a sé, subordinata a condizioni stringenti e all'autorizzazione preventiva della compagnia. Come sempre, sono le Condizioni di Assicurazione a definire coperture, limiti ed esclusioni, e vanno lette prima della sottoscrizione.