L'ente governativo statunitense ha pagato 1 milione di dollari in estorsione per furto di dati.

      TL;DRA Un'entità del governo degli Stati Uniti ha pagato circa 1 milione di dollari al gruppo di estorsione Kairos per mantenere privati i file rubati, secondo uno studio di caso di Ransom-ISAC basato su una chat di negoziazione trapelata e sull'analisi della blockchain. Gli indizi puntano alla Contea di Union, Ohio, anche se nessuna delle parti lo ha confermato. Il caso illustra quanto del "ransomware" odierno non preveda affatto la crittografia.

      Un'entità del governo degli Stati Uniti ha pagato circa 1 milione di dollari per fermare la pubblicazione di file rubati, secondo uno studio di caso del ricercatore Rakesh Krishnan per Ransom-ISAC. L'analisi si basa su una chat di negoziazione trapelata e sul percorso della blockchain lasciato dal pagamento.

      Il gruppo dietro l'affare si fa chiamare Kairos, ma potrebbe non essere una gang di ransomware in senso tradizionale. Krishnan ha riportato di non aver trovato alcun crittografo, nessun locker e nessuna richiesta di una chiave di decrittazione, solo file rubati e un prezzo per mantenerli privati.

      Lo studio di caso non nomina la vittima, ma i nomi dei file nei campioni di prova del furto, incluso un archivio chiamato union.rar, puntano alla Contea di Union, Ohio. Né la contea né Kairos hanno confermato il collegamento, e The Hacker News afferma di aver contattato la contea per un commento.

      Gli indizi si allineano con un incidente reale. Nel maggio 2025, la Contea di Union ha rilevato ransomware sulla sua rete e successivamente ha notificato a 45.487 persone che dati, inclusi numeri di previdenza sociale, impronte digitali e dettagli del passaporto, erano stati rubati.

      Se l'identificazione è corretta, una contea di circa 70.000 residenti ha effettuato un pagamento di 1 milione di dollari che non ha mai divulgato pubblicamente. L'attaccante ha fatto pressione su una cartella contrassegnata "ufficio dei pubblici ministeri", avvertendo che una fuga di notizie avrebbe aiutato i criminali a evitare accuse.

      Anatomia di un affare da 1 milione di dollari

      La negoziazione è durata circa un mese, secondo lo studio di caso. Kairos ha aperto a 3 milioni di dollari e ha affermato di detenere oltre 2 TB di dati su circa 1,6 milioni di file.

      La contea ha controbattuto a 100.000 dollari e ha aumentato lentamente l'offerta fino a 430.000 dollari, mentre Kairos è sceso a 2 milioni di dollari prima di fissare una scadenza finale di 1 milione di dollari. La vittima ha pagato il 13 giugno 2025, dieci volte la sua offerta iniziale.

      Il pagamento di circa 9,44 bitcoin corrispondeva a circa 1 milione di dollari ai prezzi di mercato di quella settimana. Nel giro di poche ore, è stato segnalato che era stato diviso e instradato attraverso una catena di portafogli verso depositi presso Bybit, OKX e BELQI, un servizio russo che ricorda il precedente riciclaggio di ransomware attraverso WEX e BTC-e.

      Il tracciamento di questo tipo fornisce agli investigatori indizi piuttosto che identità. Le bande criminali hanno trascorso anni a perfezionare come lavare criptovalute attraverso muli, mixer e scambi poco regolamentati.

      Cosa ha comprato il denaro è un'altra questione. Kairos ha consegnato un file di "prova di cancellazione", ma un elenco di nomi di file dimostra solo che l'attaccante deteneva una volta i dati, e le promesse di cancellare i dati rubati si sono già sgretolate in passato.

      Ransomware senza ransomware

      La Contea di Union ha descritto l'incidente come ransomware, eppure nulla nel caso di Kairos è mai stato crittografato. Una quota crescente di ciò che porta ancora quell'etichetta ora salta completamente i locker e utilizza i dati rubati stessi come punto di pressione, un manuale che le recenti violazioni solo di estorsione hanno mirato anche al settore privato.

      Sophos ha riportato nel 2025 che solo circa la metà degli attacchi ransomware coinvolgeva la crittografia, in calo dal 70% dell'anno precedente e il tasso più basso in sei anni. Il Silent Ransom Group, un ramo dell'ecosistema Conti, ha trascorso anni a condurre estorsioni senza crittografia contro studi legali statunitensi, attirando ripetute avvertenze dall'FBI.

      L'arco della contrattazione è familiare anche. Quando le chat interne di Black Basta sono trapelate nel febbraio 2025, un affare è passato da una richiesta di 1,5 milioni di dollari a un contro di 100.000 dollari e a un pagamento di 1 milione di dollari, quasi la stessa curva.

      Kairos stesso è diventato silenzioso, con il suo sito di leak offline e la sua ultima vittima nota pubblicata nel giugno 2026, secondo lo studio di caso. Un portafoglio collegato stava ancora muovendo fondi a maggio, quindi un sito di leak oscuro non dovrebbe essere interpretato come un equipaggio ritirato.

      Lezioni poco glamour

      Per le piccole reti governative, le conclusioni sono deliberatamente noiose. Kairos ha affermato di essere entrato indovinando una password, quindi l'autenticazione a più fattori e gli avvisi su accessi ripetuti non riusciti avrebbero notevolmente aumentato il costo di ingresso.

      I difensori dovrebbero anche monitorare i trasferimenti in uscita e i link di condivisione di file usa e getta, come gli indirizzi temp.sh utilizzati dall'attaccante, e mantenere i registri legali e dei cittadini segmentati dalla rete più ampia. Soprattutto, la ricevuta di un ladro per dati cancellati vale esattamente quanto è costato digitare.