Rivendicato un attacco informatico all’italiana Pasquale Bruni. NoEscape ha in mano 118GB di dati

Chiara Nardini : 30 Agosto 2023 10:06

Poco fa, la banda di criminali informatici di NoEscape, rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico all’italiana Pasquale Bruni. Dal post pubblicato dalla cybergang, i criminali informatici riportano di essere in possesso di 118GB di dati esfiltrati dalle infrastrutture IT dell’azienda e minacciano di pubblicarli tra 9 giorni.

Ancora non sappiamo se tali dati risultano di proprietà dell’azienda, perché non è ancora presente all’interno del loro sito nessun comunicato stampa relativamente all’accaduto.

Nel post Noescape riporta che l’azienda è stata hackerata e i suoi dati crittografati e compromessi con successo. Gli hacker affermano di essere rimasti nella rete aziendale “abbastanza a lungo” per rubare una vasta quantità di dati, inclusi 15GB di email Outlook, Passaporti, carte di credito, piani di marketing, documenti di acquisto dei clienti e molto altro per un totale di 118 GB di dati.

La gang minaccia di pubblicare questi dati, mettendo in evidenza che tra di essi ci sono informazioni soggette al GDPR, che potrebbero portare a azioni legali e risarcimenti significativi.

Come spesso accade, è una tattica di estorsione sfidare il management delle aziende a considerare le possibili perdite che potrebbero subire se i dati venissero divulgati pubblicamente, suggerendo che la reputazione dell’azienda e la fiducia dei clienti sarebbero gravemente compromesse.

Nel post la cyber gang riporta quanto segue:

Pasquale Bruni Ltd è un'azienda che opera nel settore dei beni di lusso e della gioielleria. Impiega 51-100 persone e ha entrate tra i 10 e i 25 milioni di dollari.
Da due generazioni vengono creati i gioielli più eccezionali per le donne di tutto il mondo. Ogni creazione unisce la nobiltà del metallo e delle pietre preziose in un laboratorio a conduzione familiare nel cuore dell'Italia. Ogni giorno portiamo la nostra conoscenza, il nostro spirito indipendente e la nostra esperienza nello studio e nel laboratorio in un lavoro d'amore.

L'azienda è stata crittografata e compromessa con successo.
Siamo rimasti nella rete aziendale abbastanza a lungo da rubare i documenti più importanti dai server.

Ora abbiamo a nostra disposizione 118 GB di dati, come ad esempio:
15 GB di dati di Outlook!
Contratto e accordi!
Carte di credito cc+exp+cvv!
Passaporti, carta d'identità ed Europass!
Piani media, presentazioni, ecc.!
Oltre 1.000 documenti di acquisto dei clienti!
Corrispondenza personale e lavorativa dei dipendenti!
Finanza, bilancio, contabilità, servizi bancari, fatture, report!
Dati completi su dipendenti e clienti in diversi paesi del mondo!
Un'analisi completa delle vendite delle boutique in diversi paesi del mondo!
E decine di gigabite di altri dati aziendali sensibili e importanti.

Ora vogliamo attirare l'attenzione del management su questa situazione.

Pensa alle perdite che potresti subire se i dati venissero pubblicati, perché nei documenti in nostro possesso ci sono migliaia di documenti di dati soggetti alla legge GDPR. Cause legali, procedimenti e risarcimenti infliggeranno un duro colpo dal quale non ti riprenderai mai!

Cosa dirai ai tuoi clienti dopo che pubblicheremo i dati? 7 paragrafo PRIVACY POLICY per i tuoi clienti diventerà solo una parola vuota, perché dopo la pubblicazione dei dati, assolutamente chiunque su questo pianeta potrà scaricare file e ottenere informazioni sui tuoi clienti. E non è tutto...

In questa situazione, hai solo una via d'uscita corretta da questa situazione. Metti una persona nel ruolo di negoziatore e digli di contattarci, perché solo noi possiamo aiutarti!

In caso contrario tutti i dati verranno pubblicati e i file crittografati verranno distrutti definitivamente.

Il tempo sta finendo.

Come spesso riportiamo, l’accesso alle Darknet è praticabile da qualsiasi persona che sappia utilizzare normalmente un PC. Questo è importante portarlo all’attenzione in quanto molti sostengono il contrario, spesso nei comunicati dopo la pubblicazione dei dati delle cybergang ransomware e tali informazioni sono pubblicamente consultabili come fonti aperte.

Come nostra consuetudine, lasciamo spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti su questa vicenda e saremo lieti di pubblicarla con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono accedere utilizzare la mail crittografata del whistleblower.

Cos’è il ransomware as a service (RaaS)

Il ransomware, è una tipologia di malware che viene inoculato all’interno di una organizzazione, per poter cifrare i dati e rendere indisponibili i sistemi. Una volta cifrati i dati, i criminali chiedono alla vittima il pagamento di un riscatto, da pagare in criptovalute, per poterli decifrare.

Qualora la vittima non voglia pagare il riscatto, i criminali procederanno con la doppia estorsione, ovvero la minaccia della pubblicazione di dati sensibili precedentemente esfiltrati dalle infrastrutture IT della vittima.

Per comprendere meglio il funzionamento delle organizzazioni criminali all’interno del business del ransomware as a service (RaaS), vi rimandiamo a questi articoli:

• Il ransomware cos’è. Scopriamo il funzionamento della RaaS
• Perché l’Italia è al terzo posto negli attacchi ransomware
• Difficoltà di attribuzione di un attacco informatico e false flag
• Alla scoperta del gruppo Ransomware Lockbit 2.0
• Intervista al rappresentante di LockBit 2.0
• Il 2021 è stato un anno difficile sul piano degli incidenti informatici
• Alla scoperta del gruppo Ransomware Darkside
• Intervista al portavoce di Revil UNKNOW, sul forum XSS
• Intervista al portavoce di BlackMatter

Come proteggersi dal ransomware

Le infezioni da ransomware possono essere devastanti per un’organizzazione e il ripristino dei dati può essere un processo difficile e laborioso che richiede operatori altamente specializzati per un recupero affidabile, e anche se in assenza di un backup dei dati, sono molte le volte che il ripristino non ha avuto successo.

Infatti, si consiglia agli utenti e agli amministratori di adottare delle misure di sicurezza preventive per proteggere le proprie reti dalle infezioni da ransomware e sono in ordine di complessità:

• Formare il personale attraverso corsi di Awareness;
• Utilizzare un piano di backup e ripristino dei dati per tutte le informazioni critiche. Eseguire e testare backup regolari per limitare l’impatto della perdita di dati o del sistema e per accelerare il processo di ripristino. Da tenere presente che anche i backup connessi alla rete possono essere influenzati dal ransomware. I backup critici devono essere isolati dalla rete per una protezione ottimale;
• Mantenere il sistema operativo e tutto il software sempre aggiornato con le patch più recenti. Le applicazioni ei sistemi operativi vulnerabili sono l’obiettivo della maggior parte degli attacchi. Garantire che questi siano corretti con gli ultimi aggiornamenti riduce notevolmente il numero di punti di ingresso sfruttabili a disposizione di un utente malintenzionato;
• Mantenere aggiornato il software antivirus ed eseguire la scansione di tutto il software scaricato da Internet prima dell’esecuzione;
• Limitare la capacità degli utenti (autorizzazioni) di installare ed eseguire applicazioni software indesiderate e applicare il principio del “privilegio minimo” a tutti i sistemi e servizi. La limitazione di questi privilegi può impedire l’esecuzione del malware o limitarne la capacità di diffondersi attraverso la rete;
• Evitare di abilitare le macro dagli allegati di posta elettronica. Se un utente apre l’allegato e abilita le macro, il codice incorporato eseguirà il malware sul computer;
• Non seguire i collegamenti Web non richiesti nelle e-mail;
• Esporre le connessione Remote Desktop Protocol (RDP) mai direttamente su internet. Qualora si ha necessità di un accesso da internet, il tutto deve essere mediato da una VPN;
• Implementare sistemi di Intrusion Prevention System (IPS) e Web Application Firewall (WAF) come protezione perimetrale a ridosso dei servizi esposti su internet.
• Implementare una piattaforma di sicurezza XDR, nativamente automatizzata, possibilmente supportata da un servizio MDR 24 ore su 24, 7 giorni su 7, consentendo di raggiungere una protezione e una visibilità completa ed efficace su endpoint, utenti, reti e applicazioni, indipendentemente dalle risorse, dalle dimensioni del team o dalle competenze, fornendo altresì rilevamento, correlazione, analisi e risposta automatizzate.

Sia gli individui che le organizzazioni sono scoraggiati dal pagare il riscatto, in quanto anche dopo il pagamento le cyber gang possono non rilasciare la chiave di decrittazione oppure le operazioni di ripristino possono subire degli errori e delle inconsistenze.

La sicurezza informatica è una cosa seria e oggi può minare profondamente il business di una azienda.

Oggi occorre cambiare immediatamente mentalità e pensare alla cybersecurity come una parte integrante del business e non pensarci solo dopo che è avvenuto un incidente di sicurezza informatica.