Reclutamento di affiliati ransomware: il mercato del lavoro dietro i brand RaaS
Quando compare un nuovo brand ransomware, il codice di crittografia raramente è la notizia. La prima cosa di cui un brand ha bisogno sono gli affiliati: operatori che portano con sé le proprie intrusioni nelle reti aziendali, conducono le proprie trattative e cedono al brand una quota di ogni riscatto. La scia di reclutamento che questi brand lasciano - thread fissati in alto nei forum, pagine di regole, canali Telegram - è una delle parti meglio documentate dell'ecosistema, e si legge più come un mercato del lavoro che come distribuzione di malware.
Dove girano gli annunci
Il palcoscenico principale è una manciata di forum di lingua russa: Exploit, XSS e RAMP. Parlare di ransomware è formalmente vietato sui forum di primo livello, così gli inserzionisti ricorrono a un linguaggio in codice. Flashpoint ha documentato lo schema nel 2021: utenti che offrivano di acquistare accessi VPN, Citrix e RDP «per una percentuale del profitto», descrivendosi come «un team di pentester esperti»; uno citava il lavoro passato con DarkSide come credenziale. Lo studio di ReliaQuest del 2022 sul funnel di reclutamento descrive thread RaaS fissati in cui la parola ransomware è vietata su Exploit e XSS - i gruppi dicono di cercare «pentester» - mentre RAMP ammette ogni dettaglio. Al lancio di RansomHub, Recorded Future ha risalito al primo annuncio e a un utente di nome koley, che lo pubblicò su RAMP all'inizio di febbraio 2024; al momento dell'analisi il brand rivendicava 45 vittime in 18 Paesi. Telegram ora trasporta gran parte dello stesso traffico. Un'analisi di Cyfirma pubblicata a febbraio 2026 descrive canali ransomware che «fanno pubblicità a programmi di affiliazione, illustrano strutture di commissioni, pubblicano restrizioni sui bersagli» - regioni e settori esclusi - accanto a broker di accesso che vendono punti d'ingresso VPN, RDP e cloud. La sintesi del rapporto sulla divisione del lavoro: i forum danno visibilità, Telegram «gestisce l'esecuzione».La quota offerta
Le quote pubblicizzate danno all'affiliato la netta maggioranza. LockBit nel 2022 pagava l'80 percento di ogni riscatto incassato, secondo ReliaQuest. Recorded Future descrive il 90 percento di RansomHub come «il vertice della tipica forbice dell'80-90% vista nel mercato RaaS» - una condizione «capace di attirare affiliati esperti da altre piattaforme». Nel 2025 il brand Anubis ha formalizzato tre modalità: RaaS classico con quota dell'80 percento, un servizio di estorsione solo-dati e uno schema di fornitura di accesso che paga il 50 percento del riscatto a chi ha procurato l'ingresso iniziale. La quota residua dell'operatore paga il pacchetto: il crypter e il builder, l'hosting del leak site, il supporto alla negoziazione e un nome di marca che aggiunge pressione alle conversazioni con le vittime. I benefici fanno parte del discorso. Recorded Future ricorda che Qilin ha introdotto a metà 2025 un servizio «Call Lawyer», consulenza legale per gli affiliati su come intimidire le vittime durante le trattative. LockBit, nella campagna di reclutamento del 2022, offriva 1.000 dollari agli utenti dei forum disposti a tatuarsi il logo del gruppo; almeno tre lo hanno fatto.Il vaglio dei candidati
Il reclutamento è filtrato in più fasi. Alcuni leak site hanno un modulo «Contact Us» che ReliaQuest definisce «l'equivalente criminale della lettera di presentazione»; altri elencano solo contatti cifrati, il che «può servire da test pre-selettivo, eliminando i candidati meno esperti». Chi supera quel passo arriva a quella che il rapporto descrive come verosimilmente un colloquio anonimo, e il rifiuto arriva senza spiegazioni. LockBit ha rinunciato agli annunci pubblicando invece una pagina di regole per affiliati di 2.376 parole su bersagli e procedura di candidatura. Sul fronte Telegram, Cyfirma nota che i reclutatori cercano «pentester o partner fidati» e talvolta esigono reputazione nei forum o un deposito prima di collaborare.Accaparrarsi affiliati dopo i takedown
Le rose di affiliati si rimescolano a ogni colpo delle forze dell'ordine. Dopo il sequestro dell'infrastruttura di LockBit e l'exit scam di ALPHV all'inizio del 2024, BlackBasta è crollata a febbraio 2025 dopo la fuga di trascrizioni di chat, e RansomHub si è sciolta di colpo a fine marzo 2025 - nel racconto di Recorded Future, lo scioglimento «ha lasciato le vittime a metà trattativa e gli affiliati nello scompiglio». Gli affiliati sono finiti da qualche parte: membri di BlackBasta sarebbero passati ad Akira, con cui avevano legami pregressi; Group-IB ha valutato che alcuni affiliati di RansomHub siano approdati a Qilin, citando un picco di vittime rivendicate; DragonForce ha rivendicato di aver assorbito infrastruttura e affiliati di RansomHub con un modello da «cartello» che lascia agli affiliati il proprio marchio.«Un nuovo gruppo sostituisce quello che ha cessato l'attività e spesso accoglie i membri del gruppo scomparso.» - Securelist di Kaspersky sul mercato malware-as-a-service, 2023