WTF?! Wetshandhavingsinstanties waarschuwen al langer om geen losgeld te betalen aan ransomware-bendes, omdat zij eenvoudig meer geld kunnen eisen, weigeren een ontsleutelingssleutel te leveren, of je markeren als iemand die bereid is te betalen. Maar het lijkt erop dat we ook voorzichtig moeten zijn met bedrijven die aanbieden dit soort incidenten te verhelpen: die kunnen net zo slecht zijn als de criminelen zelf.
Het Amerikaanse ministerie van Justitie heeft Zohar Pinhasi, 50, ook bekend als “Zack Silver” en “Zack Green”, aangeklaagd voor fraude. Hij runde een in Florida gevestigd bedrijf genaamd MonsterCloud dat ransomware-slachtoffers vertelde de aanvallers niet te betalen omdat het hun bestanden kon ontsleutelen – uiteraard tegen betaling.
Maar volgens het ministerie gebruikte MonsterCloud geen “proprietary tools” en “advanced decryption techniques” om dit te bereiken; naar verluidt gebruikte het een deel van de vergoedingen van zijn klanten om de ransomware-aanvallers te betalen en hield de rest, vaak met een flinke opslag.
In één voorbeeld zou Pinhasi een klant $150.000 in rekening hebben gebracht om een systeem te ontsleutelen, de hackers $8.200 van dat geld hebben betaald en vervolgens de rest hebben gehouden, zonder toe te geven dat hij het losgeld had betaald. In een andere zaak betaalde hij naar verluidt ongeveer $236.000 aan hackers en rekende de klant ongeveer $380.000, aldus de aanklagers.
De aanklacht stelt ook dat MonsterCloud ontsleutelde voorbeeldbestanden presenteerde als bewijs van zijn vermogen om slachtoffers’ gegevens te herstellen, terwijl die voorbeelden volgens de beschuldiging afkomstig waren van de ransomware-operatoren zelf.
Het klinkt als een constructie zo voor de hand liggend dat het niet zou werken, maar Pinhasi zou klanten meer dan $19 miljoen aan vergoedingen hebben berekend terwijl hij iets meer dan $8 miljoen aan losgeldbetalingen deed.
Op de website van MonsterCloud staat: “Bij MonsterCloud zijn we geen team van IT-experts. Wij zijn het meest geavanceerde Counter Cyber Terrorism-team ter wereld.”
De aanklacht zet zeker vraagtekens bij de beweringen van MonsterCloud. Op de website staan testimonials en andere promotionele materialen, waaronder aanbevelingen van ten minste één betaalde woordvoerder.
In mei 2019 nam een woordvoerder die een betaald testimonial had geleverd contact op met Pinhasi om zijn bedrijfspraktijken en eerlijkheid in twijfel te trekken, aldus de aanklacht. De woordvoerder vroeg of MonsterCloud echt over eigen software beschikte die in staat was versleutelde data te ontsleutelen. Pinhasi erkende dat het bedrijf geen eigen technologie had om door ransomware versleutelde gegevens te ontsleutelen.
Pinhasi heeft zich niet schuldig verklaard en werd vrijgelaten op borgtocht van $2 miljoen.
Een onderzoek uit 2019 door ProPublica naar twee dataherstelbedrijven ontdekte dat zij doorgaans gewoon het losgeld betaalden en de slachtoffers extra in rekening brachten. Een van die bedrijven was MonsterCloud. Destijds ontkende Pinhasi dat MonsterCloud van tevoren had beloofd de bestanden te kunnen ontsleutelen of klanten had misleid.
