Fonti preferite
Nell’era degli attacchi informatici autonomi potenziati dall’intelligenza artificiale, dove algoritmi sofisticati penetrano sistemi di sicurezza come fantasmi digitali, potrebbe sembrare anacronistico parlare di telefonate. Eppure, è proprio attraverso questo strumento apparentemente banale che gruppi di hacker stanno mettendo in ginocchio alcune delle più grandi istituzioni finanziarie americane, rubando dati sensibili e intascando riscatti milionari.
Google ha pubblicato giovedì un rapporto che getta luce su una campagna di attacchi informatici su larga scala diretta contro società finanziarie e di investimento negli Stati Uniti. L’obiettivo non è semplicemente penetrare i sistemi, ma estrarre informazioni riservate da usare come arma di estorsione: paga o pubblichiamo tutto. Secondo Reuters, tra le vittime figurano nomi che fanno tremare Wall Street: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
La tecnica utilizzata è un classico della criminalità informatica, ma affinata fino a diventare micidiale: il voice phishing, o vishing nella terminologia degli esperti di cybersicurezza. Gli hacker telefonano ai dipendenti sui loro cellulari personali, fingendosi colleghi o membri del team IT aziendale. Durante queste conversazioni apparentemente innocue, manipolano le vittime spingendole a inserire le proprie credenziali e i codici di autenticazione a più fattori su siti web contraffatti, copie perfette di quelli legittimi.
Google ha identificato quattro gruppi distinti operanti in questa campagna, battezzati con nomi in codice che suonano come personaggi di un thriller tecnologico: Falcon, Helix, Pink e Redact. Questi collettivi gestiscono persino siti web dedicati dove pubblicizzano i loro colpi e minacciano di diffondere i dati rubati, trasformando l’estorsione in un processo quasi industriale. Sul sito di uno di questi gruppi campeggia un messaggio che mescola cinismo e professionalità distorta: “Conduciamo ogni negoziazione secondo termini professionali. La pubblicazione dei vostri dati non è mai la nostra soluzione preferita, è la conseguenza del rifiuto di trattare, di ritardi deliberati o del mancato rispetto di un accordo. Rispondete prontamente e in buona fede, e la questione si risolve senza ulteriori incidenti“.
I ricercatori di Google ritengono che questi quattro gruppi potrebbero far parte di un’organizzazione ombrello più ampia, tracciata con il nome UNC6671. Resta però un interrogativo cruciale: si tratta di affiliati di una stessa rete, di gruppi scissi da un nucleo originario, o utilizzano tutti la stessa infrastruttura di Phishing-as-a-Service, quella particolare categoria di crimine informatico venduto come servizio chiavi in mano?
“Crediamo che questo rifletta molto probabilmente un gruppo coordinato di attori della minaccia che operano molteplici marchi pubblici di estorsione, forse nel tentativo di compartimentare le operazioni, nascondere i volumi complessivi di violazioni e isolare eventuali conseguenze negative dalle negoziazioni”, si legge nel rapporto di Google. Non è la prima volta che questi gruppi colpiscono. In passato hanno preso di mira aziende di grandi dimensioni nei settori manifatturiero, immobiliare, sanitario e assicurativo, oltre a società tecnologiche, di trasporto e dell’ospitalità.
Più recentemente, però, il focus si è spostato su organizzazioni legali e finanziarie, in particolare società di private equity. Non è una scelta casuale. Come spiegano i ricercatori di Google, “concentrarsi su organizzazioni coinvolte in fusioni, acquisizioni, investimenti di capitale e contenzioso potrebbe riflettere una strategia per puntare a dati aziendali riservati di alto valore, massimizzando così la leva nelle richieste di estorsione“.
I numeri danno la misura della portata di questa operazione criminale. Google ha tracciato un portafoglio di criptovalute associato a uno dei gruppi hacker, scoprendo che ha ricevuto circa 10 milioni di dollari in bitcoin solo nei primi mesi di quest’anno. Le richieste di riscatto variano tipicamente da 750.000 a 3 milioni di dollari per vittima, cifre che molte aziende preferiscono pagare piuttosto che rischiare la pubblicazione di informazioni che potrebbero danneggiare irreparabilmente la loro reputazione o violare obblighi di riservatezza verso i clienti.
