Un county piccolo finisce a pagare 1 milione per i dati rubati
La leva vera non è il blocco dei sistemi, ma il controllo del tempo quando l’attaccante ha già in mano abbastanza dati da rendere credibile la minaccia di pubblicarli. In questo caso un piccolo county statunitense è stato spinto fino a un pagamento a sette cifre perché i file esfiltrati contenevano PII sensibili e il gruppo ha potuto imporre una scadenza credibile mentre le decisioni interne si allineavano.
Secondo Ransom-ISAC, Kairos avrebbe sottratto oltre 2 terabyte di dati, circa 1,6 milioni di file, dopo un accesso iniziale via brute-force nel maggio 2025. La negoziazione è durata tre settimane, l’offerta è salita da 100.000 a 430.000 dollari, poi il pagamento si è chiuso a 1 milione in Bitcoin il 13 giugno; l’ente notificato a settembre ha parlato di informazioni su 45.487 persone, inclusi nomi, date di nascita, numeri di identità e dati finanziari e medici.
La lezione è che un attacco di estorsione può diventare costoso anche senza file-encryption, se il gruppo controlla prova del furto, pressione temporale e minaccia di pubblicazione. Per chi gestisce PII su larga scala, il danno non si ferma al fermo operativo: si sposta su esposizione pubblica, obblighi di notifica e rischio identità di lunga durata.