Ransomware-as-a-Service
Negli ultimi anni il ransomware ha smesso di essere l’attività di piccoli gruppi di criminalità informatica per assumere la forma di una vera e propria economia digitale organizzata. Il modello noto come Ransomware-as-a-Service (RaaS) rappresenta oggi una delle principali evoluzioni del cybercrime: un sistema industriale in cui sviluppatori, affiliati e intermediari operano secondo logiche simili a quelle delle piattaforme digitali legittime. Questa struttura ha contribuito a moltiplicare il numero di attacchi e ad abbassare la barriera di ingresso per nuovi attori criminali.
Come funziona il modello Ransomware-as-a-Service
Il modello RaaS si basa su una divisione del lavoro tra diversi soggetti. Gli sviluppatori creano e mantengono il malware, gestiscono l’infrastruttura di comando e controllo e forniscono strumenti per la gestione delle vittime e dei pagamenti. Gli affiliati, invece, sono responsabili della compromissione iniziale delle reti bersaglio e dell’esecuzione dell’attacco. In cambio dell’accesso alla piattaforma e agli strumenti operativi, gli affiliati versano una percentuale dei riscatti ottenuti agli sviluppatori del servizio. Questo sistema di revenue sharing ha trasformato il ransomware in un mercato altamente scalabile.
Infrastrutture criminali e filiera operativa
La diffusione del Ransomware-as-a-Service è stata favorita anche dall’evoluzione delle infrastrutture criminali online. Forum clandestini, marketplace nel dark web e servizi di anonimizzazione permettono agli operatori del ransomware di reclutare affiliati, acquistare accessi iniziali alle reti compromesse e scambiare strumenti di attacco. In molti casi l’accesso alle reti aziendali viene venduto da broker specializzati, che individuano vulnerabilità o credenziali compromesse e le rivendono a gruppi ransomware. Questo modello crea una vera e propria filiera criminale, in cui diversi attori contribuiscono a fasi differenti dell’operazione.
La doppia estorsione: una tattica crescente
Un ulteriore elemento che caratterizza il ransomware contemporaneo è la strategia della doppia estorsione. Oltre alla cifratura dei sistemi informatici, gli attaccanti sottraggono dati sensibili dalle organizzazioni colpite e minacciano di pubblicarli se il riscatto non viene pagato. Questa tattica aumenta la pressione sulle vittime, che devono considerare non solo l’interruzione dei servizi ma anche le conseguenze reputazionali e normative derivanti dalla possibile diffusione delle informazioni sottratte. Alcuni gruppi criminali hanno sviluppato veri e propri portali di pubblicazione dei dati rubati, utilizzati per rendere pubbliche le violazioni e rafforzare la credibilità delle minacce.
L’industrializzazione del Ransomware-as-a-Service
La dimensione industriale del ransomware si riflette anche nella crescente professionalizzazione delle operazioni criminali. Molte piattaforme RaaS offrono pannelli di gestione per monitorare le infezioni, strumenti di supporto tecnico per gli affiliati e sistemi automatizzati per la gestione delle trattative con le vittime. In alcuni casi vengono persino forniti modelli di comunicazione e guide operative per massimizzare la probabilità di pagamento. Questa organizzazione contribuisce a rendere il ransomware uno dei modelli di business più redditizi del cybercrime contemporaneo.
Analisi e prevenzione delle minacce
La comprensione di queste dinamiche richiede strumenti in grado di raccogliere, correlare e analizzare grandi quantità di informazioni provenienti da fonti eterogenee. L’analisi delle attività nei forum clandestini, dei domini utilizzati nelle campagne di attacco e delle infrastrutture digitali associate ai gruppi criminali rappresenta infatti un elemento fondamentale per anticipare le minacce e comprendere l’evoluzione del fenomeno.
ERA: la piattaforma per l’intelligence sul Ransomware-as-a-Service
Per supportare queste attività di intelligence, Hermes Bay ha sviluppato la piattaforma ERA. Progettata per l’aggregazione e la correlazione di dati provenienti da diverse fonti aperte, ERA consente di raccogliere informazioni, individuare relazioni tra attori e analizzare fenomeni complessi come l’economia del ransomware. Grazie a un’architettura modulare orientata alla gestione e all’analisi dei dati, la piattaforma permette di supportare le organizzazioni nelle attività di monitoraggio delle minacce, contribuendo a rafforzare la capacità di comprensione e prevenzione dei rischi cyber.
