Un ente governativo statunitense avrebbe pagato a Kairos circa 1 milione di dollari in un caso di estorsione di dati

Secondo un nuovo case study del ricercatore di Ransom-ISAC Rakesh Krishnan, un'organizzazione governativa statunitense avrebbe pagato circa 1 milione di dollari dopo che gli aggressori avevano minacciato di pubblicare i dati sottratti. L'analisi si basa su una chat di negoziazione trapelata e sul tracciamento delle criptovalute effettuato dopo il pagamento.

L'incidente è degno di nota perché il gruppo che utilizza il nome Kairos non sembra aver impiegato tattiche ransomware tradizionali. Krishnan ha dichiarato di non aver trovato prove della cifratura dei file, di strumenti di decrittazione o di un meccanismo di blocco. L'operazione si è invece concentrata sul furto dei dati e sulla pressione esercitata sulla vittima affinché non li rendesse pubblici.

La vittima non è stata nominata nello studio, ma i dettagli della chat fanno pensare a Union County, Ohio. I nomi dei file presenti nel materiale includevano riferimenti come Union.xlsx e union.rar, mentre l'aggressore indicava ripetutamente una cartella denominata in riferimento all'ufficio del procuratore, lasciando intendere che i documenti avrebbero potuto essere particolarmente dannosi se esposti.

Nel maggio 2025 Union County ha dichiarato di aver rilevato attività ransomware e in seguito ha informato decine di migliaia di residenti e dipendenti che erano state sottratte informazioni personali. Secondo quanto riferito, i dati esposti includevano numeri di previdenza sociale, dati finanziari, impronte digitali e informazioni sui passaporti. La contea non ha confermato pubblicamente un collegamento con Kairos, e il gruppo non ha a sua volta riconosciuto il legame.

Come si è svolta la negoziazione

Secondo la chat trapelata, la richiesta di estorsione è iniziata da 3 milioni di dollari e ha attraversato diverse fasi di contrattazione. Le offerte della contea sono aumentate da 100.000 a 255.000 e successivamente a 430.000 dollari, mentre Kairos ha ridotto la propria richiesta a 2 milioni di dollari prima di accordarsi su una richiesta finale di 1 milione di dollari.

Il pagamento, effettuato il 13 giugno 2025, equivaleva all'epoca a circa 9,44 bitcoin. Krishnan ha dichiarato che i fondi sono stati rapidamente suddivisi e trasferiti attraverso diversi wallet prima di raggiungere indirizzi associati a importanti exchange e a un servizio russo di criptovalute.

Il caso riflette uno spostamento più ampio verso gli attacchi basati sull'estorsione, in cui alcuni operatori non si preoccupano più di cifrare i sistemi e fanno invece affidamento esclusivamente sui dati sottratti per costringere la vittima a pagare. I ricercatori di sicurezza hanno osservato che questo modello è diventato sempre più comune negli ultimi anni.

• Kairos avrebbe minacciato di divulgare i dati sensibili della contea se il pagamento non fosse stato effettuato.
• È stato fornito un file di “prova dell'eliminazione”, ma ciò non dimostra che i dati siano stati effettivamente cancellati.
• I ricercatori affermano che difese come l'autenticazione a più fattori e la segmentazione della rete restano fondamentali per gli enti locali.

Krishnan ha dichiarato che il sito pubblico di divulgazione di Kairos non è più attivo, sebbene l'attività dei wallet collegati all'operazione sarebbe proseguita fino al 2026.