Afiliado de ransomware finge ser empresa de recuperação para roubar pagamentos de vítimas
Um criminoso, provavelmente ligado a operações de ransomware-as-a-service, está contatando vítimas antes mesmo do ataque se tornar público, se passando por uma firma de recuperação chamada "Ransom Busters". Ele cobra entre US$ 20 mil e US$ 60 mil prometendo apagar dados roubados ou entregar chaves de descriptografia, mas provavelmente é apenas o próprio operador do ataque monetizando a vítima duas vezes.
O caso, documentado pela GuidePoint Security (GRIT), mostra um golpe em camadas: alguém com acesso privilegiado a painéis administrativos de operações de ransomware como DragonForce, Settra e Anubis está se aproveitando desse acesso para abordar as vítimas antes da divulgação pública do ataque, oferecendo-se como uma suposta empresa de recuperação de dados. Essa antecedência é o detalhe mais revelador: só quem já está dentro da operação criminosa — como afiliado ou parceiro — saberia da existência do ataque antes de ele vazar, o que torna muito mais provável que "Ransom Busters" seja o próprio atacante original monetizando a vítima uma segunda vez sob um disfarce diferente.
Tecnicamente, o esquema funciona como uma extorsão paralela sobre a extorsão original. A vítima já está sob pressão do ataque de ransomware e recebe contato de um suposto terceiro que se apresenta como neutro e capaz de negociar ou reverter o dano, cobrando uma taxa fixa para apagar dados roubados de servidores associados aos grupos criminosos. Isso explora o mesmo vetor psicológico dos golpes de recuperação de fraude financeira ("recovery scams"): a vítima, desesperada e sob prazo curto, tende a pagar para qualquer um que prometa resolver o problema, sem verificar a real identidade ou capacidade de quem está do outro lado.
Para reconhecer esse tipo de golpe, o sinal de alerta mais claro é justamente o timing: qualquer contato de "recuperação" que chegue antes da divulgação pública do incidente deve ser tratado como parte do próprio ataque, não como ajuda externa. Empresas de resposta a incidentes legítimas não abordam vítimas de forma proativa e não cobram por "deletar" dados que, por definição, já estão fora de controle da vítima. A recomendação de especialistas é não pagar e envolver imediatamente uma equipe de resposta a incidentes confiável e, se possível, as autoridades, já que o pagamento não garante exclusão real dos dados nem impede reuso ou revenda deles no futuro.