Un ente governativo degli Stati Uniti avrebbe pagato circa 1 milione di dollari a un gruppo chiamato Kairos per evitare la pubblicazione di file rubati in un caso di estorsione basata sul furto di dati. Il punto più rilevante per la cybersecurity è che non emergono segnali di ransomware nel senso classico del termine: non ci sarebbero stati sistemi cifrati, nessun decryptor promesso e nessuna richiesta legata allo sblocco delle macchine.
La pressione è stata esercitata solo tramite la minaccia di divulgazione dei documenti sottratti, un modello sempre più diffuso nelle campagne di cyber estorsione.
Dalle tracce della trattativa e dai nomi dei file di prova citati nelle chat, il caso viene collegato a una realtà locale con risorse limitate, compatibile con un contesto di pubblica amministrazione. Tra gli elementi sensibili usati come leva compare una cartella indicata come legata all’ufficio dei procuratori, presentata dagli attaccanti come materiale che, se pubblicato, potrebbe ostacolare procedimenti e favorire criminali. In episodi di data breach nel settore pubblico, infatti, i dati sottratti possono includere informazioni personali ad alto impatto come numeri di previdenza, dettagli finanziari, impronte digitali e numeri di passaporto, aumentando i rischi di frode e furto di identità.
La negoziazione sarebbe durata circa un mese con una dinamica tipica: richiesta iniziale elevata, controfferta bassa, rilanci progressivi e infine un ultimatum con scadenza. L’importo finale si sarebbe fissato a 1 milione, pagato a metà giugno 2025. Il pagamento in bitcoin risulta tracciabile on-chain e sarebbe stato rapidamente frammentato e spostato attraverso più wallet verso indirizzi riconducibili a servizi di scambio di criptovalute. Questo tipo di blockchain analysis non fornisce automaticamente un nome, ma crea piste operative per le indagini e per l’intelligence sulle minacce.
Resta però un problema chiave: pagare non garantisce la cancellazione dei dati. Anche se gli estorsori inviano una presunta prova di eliminazione, essa dimostra al massimo il possesso precedente dei file, non la loro distruzione. Per le organizzazioni, soprattutto enti locali, la lezione è rafforzare la prevenzione e il rilevamento:
- Attivare la multi-factor authentication (MFA)
- Monitorare i tentativi di accesso falliti
- Individuare esfiltrazioni anomale
- Limitare i privilegi
- Segmentare archivi legali, risorse umane e dati dei cittadini
- Preparare in anticipo un piano di comunicazione pubblica per gestire tempi e messaggi durante un incidente