Un nuovo gruppo di cybercriminali, denominato ScarlettGroup, sta emergendo con una strategia di estorsione basata sulla minaccia di pubblicare dati presuntamente rubati, utilizzando un sito sul dark web con timer per fare pressione sulle vittime.
Una nuova operazione di cyber-estorsione, identificata come ScarlettGroup, sta attirando l'attenzione della comunità della cybersecurity. Secondo le ricerche, questo gruppo opera attraverso un leak site accessibile tramite la rete Tor, impiegando timer pubblici per esercitare pressione sulle organizzazioni riguardo a presunti dati compromessi. L'attività di ScarlettGroup è diventata più visibile a partire da settembre 2026, con un'escalation in ottobre grazie alla pubblicazione di presunte vittime e all'attività sui forum underground.
Ciò che distingue ScarlettGroup dalle tradizionali campagne di ransomware è il suo focus sulla minaccia di divulgazione pubblica piuttosto che sull'effettiva crittografia dei file. Le prove disponibili non confermano i metodi di accesso iniziale del gruppo, né dimostrano il dispiegamento di ransomware o verificano in modo indipendente ogni singola accusa di violazione. Queste distinzioni sono cruciali per valutare un attore emergente la cui strategia di coercizione si basa pesantemente sulle affermazioni pubbliche.
La piattaforma dedicata da ScarlettGroup sul dark web presenta un elenco di presunte vittime, corredato da date di pubblicazione previste, categorie settoriali, stati di divulgazione e, soprattutto, countdown timer. Questi timer trasformano le accuse di violazione in scadenze tangibili, creando un senso di urgenza per le organizzazioni, spinte a negoziare prima che le informazioni vengano presumibilmente rilasciate. Gli elenchi osservati spaziano tra i settori della tecnologia, dell'istruzione, del governo e dell'intrattenimento, suggerendo una strategia di targeting non ancora focalizzata su un settore specifico.
È fondamentale sottolineare che la semplice apparizione su un leak site criminale non equivale a una conferma indipendente di un accesso non autorizzato o di un furto di dati. Questo approccio ricorda uno schema più ampio documentato da altre società di sicurezza, che descrivono i leak site come infrastrutture di "name-and-shame" (denigrazione pubblica) e i countdown clock come meccanismi per stabilire scadenze di divulgazione pubblica. Tali caratteristiche supportano il messaggio di estorsione, ma non stabiliscono l'autenticità, la completezza o la sensibilità del materiale sottostante.
Secondo le analisi, ScarlettGroup descrive un processo che include la pubblicazione pubblica, una finestra di negoziazione e, infine, la chiusura del caso o la divulgazione dei dati. Le presunte compromissioni vengono inizialmente annunciate con dettagli sull'organizzazione e informazioni sulla pubblicazione. Un termine ultimo viene quindi stabilito per consentire un periodo limitato di comunicazione con gli operatori. Il gruppo afferma che gli accordi portano alla rimozione dell'elenco e alla cancellazione delle informazioni compromesse. In caso di fallimento delle negoziazioni, minaccia la pubblicazione.
Tuttavia, queste garanzie rimangono affermazioni controllate dall'attaccante: la rimozione di una pagina web non fornisce alcuna prova indipendente che i file rubati, le copie o l'accesso agli ambienti interessati siano stati eliminati. L'attività associata a ScarlettGroup è stata anche documentata su forum come PwnForums, con potenziali legami con BreachForums e DarkForums che richiedono ulteriori verifiche.
ScarlettGroup evidenzia l'importanza per i difensori di distinguere tra ransomware e estorsione basata sui dati. Incidenti in cui i criminali rubano informazioni e minacciano la pubblicazione senza crittografare i file sono riconosciuti dalle agenzie di sicurezza come il CISA (Cybersecurity and Infrastructure Security Agency). Pertanto, l'assenza di sistemi bloccati non esclude un incidente di estorsione.
Per le organizzazioni potenzialmente interessate, la priorità immediata dovrebbe essere la validazione dell'accusa piuttosto che trattare il countdown come prova inconfutabile. Gli investigatori dovrebbero preservare i log pertinenti, esaminare l'attività sospetta degli account, valutare l'accesso a repository sensibili e correlare i campioni presunti con i record interni.
Le misure preventive raccomandate includono l'adozione di meccanismi di autenticazione robusti, la restrizione dell'accesso alle informazioni sensibili, la correzione dei servizi esposti e il monitoraggio dei trasferimenti anomali di dati. Sebbene i backup supportino il recupero, non possono annullare la perdita di riservatezza dopo l'esfiltrazione dei dati. Inoltre, il pagamento del riscatto non garantisce che un ambiente non sia più compromesso.
La strategia di ScarlettGroup, che si basa su metodi di intrusione non confermati, rende essenziale un'indagine basata sull'evidenza. Le organizzazioni devono valutare cosa è accaduto, quali informazioni sono state accessibili e se l'accesso degli aggressori persiste, prima di trarre conclusioni basate esclusivamente sulle affermazioni pubbliche o sulle scadenze di negoziazione durante un incidente di sicurezza in corso.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
