La sera del 19 febbraio il sito di LockBit nella rete Tor ha cominciato a mostrare un avviso di sequestro. Il giorno dopo Europol, la National Crime Agency britannica e l’FBI hanno spiegato l’Operazione Cronos: dopo mesi di indagini, le forze dell’ordine di dieci Paesi hanno preso il controllo dell’infrastruttura del gruppo ransomware più attivo al mondo, quello che negli ultimi anni ha colpito anche Royal Mail, Boeing e la banca ICBC.
Il bottino è notevole. Sono stati sequestrati il pannello di amministrazione usato dagli affiliati e il sito dove venivano pubblicati i dati delle vittime, e chiusi 34 server in Paesi Bassi, Germania, Finlandia, Francia, Svizzera, Australia, Stati Uniti e Regno Unito. Oltre 200 conti in criptovalute sono stati congelati e più di 14.000 account usati per esfiltrare i dati sono stati chiusi. Ci sono due arresti, in Polonia e in Ucraina, tre mandati di arresto internazionali e cinque incriminazioni tra Francia e Stati Uniti. E soprattutto oltre 1.000 chiavi di decifratura recuperate.
Il sito rivoltato contro il gruppo
La parte più riuscita dell’operazione è psicologica. Gli investigatori hanno trasformato il sito di LockBit in un’arma contro il gruppo stesso: al posto dell’elenco delle vittime ora compaiono i comunicati della polizia, con conti alla rovescia identici a quelli che LockBit usava per le estorsioni. Un messaggio rivolto agli affiliati, più che alle vittime. Dai server è emerso anche che il gruppo conservava i dati delle vittime pure dopo che queste avevano pagato per farli cancellare.
È probabilmente il colpo più duro mai inflitto a un’organizzazione ransomware. Il capo del gruppo, però, non è stato arrestato, e il codice di LockBit circola da tempo. Che il gruppo provi a ripartire, o che gli affiliati si spostino sotto altri marchi, è più che possibile.
Se sei stato colpito da LockBit, rivolgiti alla polizia postale o consulta il portale No More Ransom, dove vengono pubblicati gli strumenti di decifratura. Conserva i file cifrati, perché potrebbero tornare recuperabili. E se ti capiterà di valutare un riscatto per evitare la pubblicazione dei dati, ricorda questa operazione: il pagamento non ha mai garantito la cancellazione.
