Attacchi hacker con riscatti milionari: fermato dalla polizia il membro di una gang

Colpivano nomi da Novanta come la Campari, Dollmar (colosso della distribuzione di prodotti chimici industriali), ma anche ospedali e compagnie aere. Una volta che si intrufolavano nei loro sistemi informatici criptavano tutti i dati e bloccavano tutti i servizi. Come riferiscono i colleghi di MilanoToday chiedevano riscatti tra i 5 e i 70 milioni e a fronte del pagamento la restituzione non aveva luogo; seguiva piuttosto l’ulteriore ricatto della pubblicazione sul darkweb dei dati. Nelle scorse ore sono scattate le manette nei confronti del presunto leader dei Ragnar locker, uno dei gruppi hacker più noti al mondo. L'uomo, 35 anni, è stato bloccato all'aeroporto di Parigi. L'operazione ha coinvolto diverse forze dell'ordine europee e per l'Italia è stata portata avanti dalla polizia postale e coordinata dalla procura di Milano.

La gang è stata descritta dagli investigatori come una delle maggiori potenze criminali specializzata "in attacchi informatici di tipo ransomware: attacchi distruttivi, in grado di cifrare, e quindi paralizzare, i sistemi colpiti, pregiudicando così l’erogazione di servizi pubblici essenziali in vari settori, quali sanità, energia, trasporti, comunicazioni", si legge in una nota di via Fatebenefratelli a Milano. Diversi i bersagli celebri: l’ospedale israeliano 'Mayanei Hayeshua' di Tel Aviv e la principale compagnia aerea portoghese sono solo due tra le recenti e più importanti vittime del gruppo che in Italia ha colpito, dal 2020, l’Azienda Ospedaliera di Alessandria, la Campari e la Dollmar. 

Sono stati richiesti riscatti da 5 a 70 milioni di dollari per ottenere la restituzione dei dati, ma a fronte del pagamento la restituzione non aveva luogo; seguiva piuttosto l’ulteriore ricatto della pubblicazione sul darkweb dei dati esfiltrati (tecnica della 'doppia estorsione'). Il gruppo criminale dissuadeva inoltre le vittime dal rivolgersi alla polizia, minacciando, in caso contrario, di pubblicare i dati sulla propria pagina nel darkweb, chiamata Wall of Shame (il 'Muro della vergogna'), ora sotto sequestro.

Le indagini della polizia postale, coordinate dalla procura della Repubblica di Milano, si sono unite alle indagini della gendarmeria francese, del Fbi americano e di altri sette Paesi, e sono confluite in una settimana di azione operativa congiunta - supportata da Eurojust ed Europol e condotta in quattro diversi Paesi - che ha portato al fermo del 35enne presso l’aeroporto di Parigi, alla perquisizione informatica dei device nella sua residenza a Praga, nonché al sequestro dei computer su cui poggiava l’infrastruttura criminale in vari Paesi europei, tra cui Germania, Lettonia, Svezia e Olanda.

L’attività info-investigativa condotta dagli investigatori milanesi, anche mediante intercettazioni telematiche transnazionali dei server in mano al gruppo criminale, è partita dall’analisi forense dei sistemi informatici attaccati dai Ragnar locker nell’ottobre del 2020, ed ha permesso di identificare, ricostruire e localizzare l'intera infrastruttura criminale, protetta da un complesso sistema di anonimizzazione multilivello, che sfruttava server dislocati in tutto il mondo.