Cosa dicono gli advisory #StopRansomware sull'economia del ransomware: pagamenti, settori, affiliati
Gli advisory congiunti #StopRansomware pubblicati da CISA, FBI e agenzie partner si leggono di solito come materiale da risposta a incidente: indicatori di compromissione, mappe delle tattiche, checklist di mitigazione. Letti fianco a fianco, formano anche un archivio pubblico insolito di come è organizzata l'economia del ransomware. Gli advisory su ALPHV/Blackcat, Black Basta e Medusa descrivono, in un linguaggio volutamente sobrio, chi fa il lavoro, come si compra l'accesso alle reti e come le vittime vengono spinte a pagare.
Un mercato del lavoro, non una sola banda
L'advisory su Medusa (AA25-071A, pubblicato la prima volta a marzo 2025 e aggiornato ad agosto 2026, ripreso anche sul sito dell'FBI) è il più esplicito sul denaro. Racconta che gli sviluppatori di Medusa reclutano broker di accesso iniziale sui forum di cybercriminalità, offrendo agli IAB pagamenti da 100 a 1 milione di dollari e la possibilità di lavorare in esclusiva per Medusa, e nota che la maggior parte degli IAB lavora contemporaneamente per più varianti di ransomware. La merce è l'accesso alle reti; il marchio che lo compra è largamente intercambiabile. Lo stesso advisory descrive un modello di affiliati a livelli: Medusa è nata come operazione chiusa a giugno 2021 e dall'inizio del 2023 è passata a una struttura ransomware-as-a-service, in cui gli affiliati ricevono livelli di fiducia variabili in base a esperienza e redditività. Con gli affiliati più nuovi, la negoziazione del riscatto può essere gestita in modo centralizzato dagli sviluppatori. L'advisory su ALPHV/Blackcat e quella su Black Basta descrivono i protagonisti allo stesso modo: operazioni RaaS in cui affiliati indicati per nome portano avanti l'intrusione e l'estorsione secondo le regole fissate dal nucleo del gruppo. Il sito di leak come meccanismo di pagamento
Gli advisory trattano i siti di leak come una parte del processo di pagamento, non come pubblicità. Il sito .onion di Medusa elenca le vittime con conto alla rovescia; una vittima può pagare 10.000 dollari in criptovaluta per aggiungere un solo giorno al timer. Gli attori offrono una tariffa ridotta a tempo limitato in cambio di un pagamento rapido e, secondo l'advisory, calibrano le richieste sui ricavi pubblicamente dichiarati della vittima. Il documento registra anche cosa può succedere dopo il pagamento: una vittima che aveva pagato è stata ricontattata per versare un'altra metà del riscatto, presuntamente per un 'decryptor vero', e gli autori notano che non esiste modo di verificare che i dati rubati vengano davvero rimossi. L'advisory su Black Basta descrive un meccanismo parallelo: i biglietti del riscatto lasciano alle vittime dai 10 ai 12 giorni prima di pubblicare i dati sul sito Tor 'Basta News' del gruppo. L'aggiornamento su ALPHV documenta l'altro estremo del mercato: alcuni affiliati estorcono solo con i dati rubati, senza nemmeno distribuire ransomware. Bersagli opportunisti, settori ricorrenti
Nessuno dei tre gruppi è descritto come selettivo. Gli attori di Medusa operano in modo opportunistico colpendo vittime con software non patchato; la sanità resta però una vittima frequente, e ad aprile 2026 l'advisory conta oltre 500 vittime di Medusa nei settori di infrastruttura critica. Gli affiliati di Black Basta avevano colpito oltre 500 organizzazioni nel mondo a maggio 2024, in almeno 12 dei 16 settori di infrastruttura critica, con la sanità indicata come attraente per la dipendenza dalla tecnologia e per il disastro che un attacco porta alle cure. L'aggiornamento su ALPHV rilevava che, delle quasi 70 vittime messe online dalla metà di dicembre 2023, il settore sanitario era il più colpito, un periodo seguito agli incoraggiamenti dell'amministratore del gruppo a bersagliare gli ospedali dopo l'azione contro la sua infrastruttura. Pagamenti in calo, rischio sanzioni fermo
Sui pagamenti, la posizione pubblica del governo è regolatoria più che statistica. L'advisory aggiornato dell'OFAC sui pagamenti di riscatto, emesso a settembre 2021, afferma che il governo USA sconsiglia vivamente a tutte le aziende e ai cittadini privati di pagare riscatti o richieste estorsive, avverte che i facilitatori — banche, assicurazioni cyber, società di incident response — rischiano sanzioni civili su base di responsabilità oggettiva, e registra una presunzione di diniego per le licenze che implicano pagamenti di riscatto a parti sanzionate. Lo stesso documento, annunciato insieme alla designazione dell'exchange Suex per aver facilitato proventi del ransomware, dice alle vittime che segnalare l'attacco tempestivamente alle forze dell'ordine o alla CISA può valere credito per divulgazione volontaria e una mitigazione significativa, con l'avvertenza che non c'è garanzia di recuperare l'accesso ai dati. I dati di mercato mostrano la pressione sul fronte dei pagamenti. Chainalysis misura circa 813,55 milioni di dollari di pagamenti ransomware nel 2024, circa il 35 per cento in meno del record da 1,25 miliardi del 2023 e il primo calo dal 2022; meno della metà degli incidenti registrati è finita con un pagamento, e un negoziatore citato nel rapporto stima che circa il 30 per cento delle trattative porti al pagamento. Chainalysis osserva anche che i pagamenti finali si addensano tra 150.000 e 250.000 dollari indipendentemente dalla richiesta iniziale: è la negoziazione, non la cifra d'apertura, a fissare il prezzo finale. Perché gli advisory citano gli affiliati per nome
Il dettaglio ricorrente in questi documenti è strutturale: chi compromette la rete, chi negozia, chi mantiene il ransomware e il servizio che smuove il denaro sono parti distinte, spesso in giurisdizioni distinte. È per questo che gli advisory nominano affiliati, broker di accesso e intermediari invece di un singolo marchio. L'azione delle forze dell'ordine segue i ruoli, come quando il Tesoro USA designò nel 2021 l'exchange Suex — il primo scambio di valute virtuali sanzionato per aver facilitato proventi del ransomware, legato ad almeno otto varianti — senza attribuire un nesso a una specifica variante RaaS. Per chi segue i siti di leak, la lezione pratica è quella che abbiamo raccontato nel nostro approfondimento su come funzionano i siti di leak del ransomware su .onion: il conto alla rovescia è un meccanismo di pagamento, e la macchina attorno — prezzi dei broker, affiliati a livelli, rischio sanzioni per i facilitatori — è ciò che questi advisory documentano davvero.
