Conversazioni trapelate suggeriscono che una contea statunitense non identificata abbia pagato 1 milione di dollari a una banda di estorsori

Una trascrizione trapelata e alcuni elementi di supporto suggeriscono che una contea statunitense non identificata abbia pagato 1 milione di dollari a un gruppo di estorsori dopo che i criminali avevano dichiarato di aver sottratto più di 2 TB di dati. L’episodio, descritto in un caso di studio di threat intelligence, ripropone interrogativi già noti sul fatto che il pagamento di un riscatto riduca realmente il rischio o acquisti semplicemente una promessa non verificata.

Secondo il rapporto, il gruppo responsabile dell’operazione, che si fa chiamare Kairos, aveva inizialmente chiesto 3 milioni di dollari. Le trattative si sono quindi protratte per diverse settimane: i funzionari della contea hanno dichiarato di non poter soddisfare la richiesta iniziale e hanno presentato controfferte passate da 100.000 a 255.000 e, in seguito, a 430.000 dollari. Le parti hanno infine raggiunto un accordo per 1 milione di dollari in Bitcoin.

Che cosa ha chiesto la contea

La trascrizione suggerisce che l’ente pubblico volesse più di una semplice garanzia verbale in cambio del pagamento. Ha richiesto:

• la prova che i dati sottratti fossero stati eliminati
• un elenco completo dei file acquisiti
• una spiegazione di come gli aggressori avessero ottenuto l’accesso

Kairos ha dichiarato che avrebbe fornito un elenco di esempio dei file e di essere entrato nella rete tramite forza bruta. Il gruppo ha inoltre condiviso quella che ha descritto come prova dell’eliminazione dei dati e ha promesso di non vendere i dati né attaccare nuovamente la vittima.

Tuttavia, il ricercatore che ha condotto l’analisi ha osservato che non esisteva alcun modo indipendente per confermare l’eliminazione del materiale sottratto. Questa limitazione è uno dei motivi per cui le forze dell’ordine avvertono ripetutamente le vittime che il pagamento di un riscatto non garantisce il recupero dei dati né impedisce successive fughe di informazioni.

La possibile vittima resta incerta

Il rapporto non identifica direttamente la contea, ma un indizio punta all’Ohio: un file incluso tra il materiale presumibilmente sottratto faceva riferimento a Dublin, una città che si estende su diverse contee dello Stato. I risultati coincidono inoltre temporalmente con una comunicazione pubblica della contea di Union, in Ohio, che ha dichiarato di aver subito un’intrusione correlata a un ransomware nel maggio 2025, con il coinvolgimento di dati personali e sensibili.

Finora, i funzionari non hanno confermato se la contea di Union sia l’entità menzionata nei documenti trapelati relativi alla trattativa. L’FBI ha rifiutato di commentare e il rapporto avverte che l’incidente potrebbe non aver coinvolto affatto un ransomware tradizionale, poiché non è stato identificato alcun decryptor o strumento di cifratura.

Il caso evidenzia le difficili decisioni che gli enti pubblici devono affrontare quando i dati sensibili vengono esposti e gli aggressori dettano le condizioni.