Quando i Guardiani si Voltano: Insider della Cybersicurezza USA Incarcerati per Aver Orchestrato Attacchi Ransomware BlackCat

È il tradimento definitivo: professionisti della cybersicurezza, incaricati di proteggere le organizzazioni dai predatori digitali, che oltrepassano il limite per diventare la stessa minaccia che un tempo combattevano. Questa settimana, il sistema giudiziario ha lanciato un messaggio netto, condannando due ex specialisti di incident response a quattro anni di carcere per aver orchestrato una serie di attacchi ransomware BlackCat di alto profilo negli Stati Uniti.

Fatti in breve

• Due ex dipendenti della cybersicurezza condannati a quattro anni per attacchi ransomware BlackCat.
• Hanno preso di mira aziende statunitensi, inclusi i settori medico, farmaceutico, ingegneristico e della produzione di droni.
• Le vittime hanno ricevuto richieste di riscatto da 300.000 a 10 milioni di dollari; almeno un’azienda ha pagato 1,27 milioni di dollari.
• Gli insider agivano come affiliati di BlackCat, dividendo i riscatti e riciclando i pagamenti.
• Le autorità affermano che BlackCat ha estorto oltre 300 milioni di dollari a più di 1.000 vittime a livello globale.

Tradimento dall’Interno: Il Piano degli Insider di BlackCat

Ryan Clifford Goldberg, in precedenza incident response manager presso Sygnia, e Kevin Tyler Martin, negoziatore di ransomware presso DigitalMint, erano un tempo in prima linea nell’aiutare le aziende a gestire crisi informatiche. Ma tra maggio e novembre 2023 hanno usato la loro competenza d’élite per fini criminali, agendo come affiliati della gang ransomware BlackCat (nota anche come ALPHV). Insieme a un terzo complice, Angelo Martino, il team ha violato più aziende statunitensi, bloccando sistemi critici e pretendendo riscatti multimilionari.

Secondo i procuratori, il gruppo versava una quota del 20% del bottino estorto per accedere alla sofisticata piattaforma ransomware-as-a-service di BlackCat. Il trio ha preso di mira un’ampia gamma di attività: un’azienda farmaceutica del Maryland, un produttore di dispositivi medici con sede a Tampa, una società di ingegneria in California, un produttore di droni in Virginia e persino uno studio medico in California. La sola azienda di Tampa è stata costretta a pagare 1,27 milioni di dollari dopo che i suoi server sono stati paralizzati e i suoi dati sensibili presi in ostaggio.

Sebbene molte aziende abbiano ricevuto richieste di riscatto fino a 10 milioni di dollari, solo il caso di Tampa risulta confermato come concluso con un pagamento, poi riciclato e diviso tra i cospiratori. Il tradimento è stato particolarmente grave, poiché Goldberg e Martin erano stati incaricati di difendere le organizzazioni proprio da questo tipo di minacce. «Questi imputati hanno sfruttato conoscenze specialistiche di cybersicurezza non per proteggere le vittime, ma per estorcerle», ha dichiarato il Procuratore degli Stati Uniti Jason A. Reding Quiñones.

La reazione del settore è stata immediata. DigitalMint e Sygnia hanno entrambe condannato le azioni dei loro ex dipendenti, sottolineando il licenziamento immediato e una politica di tolleranza zero verso comportamenti criminali. Il caso evidenzia inoltre la crescente sofisticazione e portata di operazioni ransomware come BlackCat, che l’FBI collega a oltre 1.000 vittime e 300 milioni di dollari in pagamenti di riscatto in tutto il mondo dal 2021.

Riflessioni: Fiducia Minata nella Cybersicurezza

Questo caso è un monito inquietante: persino chi è incaricato della difesa digitale può trasformarsi in una minaccia. Mentre le gang ransomware affinano le loro tattiche e cercano insider qualificati, le organizzazioni devono restare vigili: la fiducia, una volta spezzata, è difficile da ricostruire. La lotta al cybercrimine non riguarda solo la tecnologia; riguarda l’integrità a ogni livello del settore.

TECHCROOK

Per ridurre l’impatto di campagne ransomware come BlackCat, una misura concreta è affiancare ai controlli interni una protezione endpoint con funzioni anti-ransomware. Bitdefender Total Security è una suite consumer/SMB che combina antivirus di nuova generazione, monitoraggio comportamentale e moduli dedicati al blocco della cifratura malevola, con protezione web contro phishing e download pericolosi. Include anche firewall, controllo delle vulnerabilità e strumenti di hardening di base, utili per limitare la superficie d’attacco su PC Windows e macOS. Non sostituisce un piano di incident response, ma aiuta a prevenire l’esecuzione del payload e a contenere i danni sui dispositivi degli utenti. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Ransomware: Il ransomware è un software malevolo che cifra o blocca i dati, chiedendo un pagamento alle vittime per ripristinare l’accesso ai propri file o sistemi.
• Incident Response: L’incident response è il processo strutturato che le organizzazioni utilizzano per rilevare, contenere e riprendersi da attacchi informatici o violazioni della sicurezza, riducendo al minimo danni e tempi di inattività.
• Affiliate: Un affiliato è un criminale o un gruppo indipendente che utilizza strumenti di una più ampia organizzazione di cybercrime per lanciare attacchi, condividendo i profitti con il fornitore.
• Ransomware: Il ransomware è un software malevolo che cifra o blocca i dati, chiedendo un pagamento alle vittime per ripristinare l’accesso ai propri file o sistemi.
• Money Laundering: Il riciclaggio di denaro occulta l’origine illegale dei fondi facendoli apparire legittimi, spesso usando aziende o casinò per mascherarne la provenienza.