Ransom Busters truffa le vittime mentre Sakura e CareCloud espongono milioni di account

🛡️ Executive Summary

• Ransom Busters si presenta come società di recovery ma GuidePoint ritiene sia un affiliato ransomware che tenta una seconda estorsione sulle stesse vittime.
• Sakura Internet indaga sull’accesso al sistema commerciale: fino a 1.360.563 account potrebbero essere coinvolti, senza esfiltrazione finora confermata.
• CareCloud comunica l’impatto su 3.756.469 persone dopo l’accesso non autorizzato a un ambiente AWS contenente database sanitari.

Tre incidenti mostrano facce differenti dello stesso mercato criminale costruito attorno ai dati compromessi. Ransom Busters contatta aziende già colpite da ransomware fingendosi una società capace di recuperare file e cancellare informazioni sottratte, ma gli elementi forensi raccolti da GuidePoint indicano che dietro il servizio potrebbe trovarsi lo stesso affiliato responsabile degli attacchi. In Giappone Sakura Internet indaga invece su un accesso che potrebbe avere interessato 1.360.563 account, mentre negli Stati Uniti CareCloud ha portato a oltre 3,75 milioni il numero delle persone coinvolte nella violazione del proprio ambiente sanitario. Tre dinamiche diverse che convergono sullo stesso problema: quando l’accesso ai dati viene perso, anche la fase successiva all’incidente diventa parte dell’attacco.

Ransom Busters offre il recupero dei dati che potrebbe avere rubato

Il caso più anomalo riguarda Ransom Busters, organizzazione che si presenta alle vittime come una società indipendente specializzata nel recupero dopo un ransomware. Il GuidePoint Research and Intelligence Team, intervenuto in diversi incidenti recenti, ha però rilevato una circostanza difficilmente compatibile con un normale servizio di incident response: Ransom Busters contatta le aziende prima che la compromissione sia diventata pubblica. Nel rapporto originale pubblicato da GuidePoint Security, GRIT valuta quindi che l’entità sia in realtà un affiliato ransomware attivo attraverso più operazioni RaaS, capace di monetizzare nuovamente un accesso già ottenuto durante l’attacco. Nelle comunicazioni inviate alle vittime, Ransom Busters sostiene di avere compromesso i pannelli amministrativi delle gang criminali e di poter recuperare le chiavi di cifratura, restituire i file e cancellare le copie conservate dagli estorsori. Per questo servizio vengono richiesti tra 20.000 e 60.000 dollari. Il modello introduce una seconda estorsione parallela a quella ufficialmente condotta dall’operazione ransomware: la vittima non deve più stabilire soltanto se fidarsi della gang che chiede il riscatto, ma anche se il presunto intermediario appartenga in realtà allo stesso ecosistema criminale.

Gli stessi strumenti collegano gli attacchi al falso servizio di recovery

L’analisi forense rende l’ipotesi ancora più concreta. GuidePoint ha esaminato due incidenti nei quali Ransom Busters aveva contattato le vittime e ha trovato forti sovrapposizioni negli strumenti e nei meccanismi di persistenza utilizzati dagli aggressori. In entrambi comparivano SoftPerfect Network Scanner, s5cmd e Remotely, insieme alla creazione di un account locale backdoor con la password Numlock!123 e all’hostname controllato dagli attaccanti DESKTOP-BBETH6K. GRIT ha osservato inoltre l’attività dello stesso cluster durante intrusioni associate a DragonForce, Settra e Anubis, valutando con confidenza moderata che si tratti di un affiliato capace di lavorare con più piattaforme ransomware-as-a-service. Il collegamento con Anubis è particolarmente rilevante perché la gang ha già mostrato una combinazione tra cifratura, esfiltrazione e pressione economica, come avvenuto nell’attacco ransomware di Anubis contro Fairlife. Ransom Busters aggiunge un ulteriore livello: l’affiliato potrebbe tentare di trattenere una quota più ampia dei profitti evitando il normale revenue sharing con l’operatore RaaS e presentandosi direttamente alla vittima come salvatore.

Pagare la gang non garantisce più il controllo delle copie rubate

La conseguenza principale supera il singolo caso. Nei modelli ransomware tradizionali, la vittima negozia con un’organizzazione che promette una chiave di decrittazione e, nelle campagne di doppia estorsione, la cancellazione delle informazioni sottratte. Se però più attori indipendenti possiedono contemporaneamente la stessa copia dei dati, nessuno può garantire che un pagamento elimini davvero il rischio di pubblicazione o rivendita. GuidePoint sottolinea proprio questo deterioramento della fiducia interna all’ecosistema RaaS: un affiliato può conservare dati e chiavi e tentare di monetizzarli senza informare l’operatore principale. Non è un problema teorico, perché il valore criminale di un data breach continua anche molto tempo dopo l’intrusione, attraverso phishing mirato, credential stuffing, furto d’identità, ricatti e vendita nei marketplace underground. Il falso recovery diventa così parte integrante dell’estorsione e rende ancora meno credibile qualsiasi promessa di cancellazione definitiva dei dati in cambio di denaro.

Sakura Internet indaga su 1.360.563 account potenzialmente coinvolti

In Giappone il problema è differente ma la scala è significativa. Sakura Internet, fornitore nazionale di hosting, VPS, cloud e data center, ha comunicato di avere rilevato un accesso non autorizzato al proprio sistema di gestione commerciale, nel quale sono conservate informazioni contrattuali e dati degli utenti. Secondo il secondo aggiornamento ufficiale pubblicato da Sakura Internet, il numero massimo di account potenzialmente interessati arriva a 1.360.563. L’azienda precisa però un punto essenziale: questa cifra rappresenta la popolazione che potrebbe essere stata esposta e non il numero di account per i quali sia già stata accertata l’effettiva acquisizione dei dati. Al momento della comunicazione Sakura non aveva inoltre confermato un’esfiltrazione verso l’esterno. L’indagine sul sistema commerciale è nata durante l’analisi di un precedente accesso abusivo al servizio Sakura Rental Server, che aveva interessato 583 account e aveva permesso all’attaccante di raggiungere aree accessibili ai clienti e installare malware.

Password hashate e nessuna carta nel sistema non chiudono il rischio

Sakura Internet afferma che tra le informazioni potenzialmente interessate figurano dati degli account conservati nel sistema di vendita e che le password sono memorizzate in forma hashata, rendendo più difficile il recupero della stringa originale. Il sistema non conserva invece informazioni delle carte di credito. Questi due elementi riducono alcune conseguenze immediate ma non eliminano l’impatto di una possibile compromissione. Dati identificativi, contrattuali e di contatto possono comunque essere utilizzati per costruire campagne di phishing estremamente credibili contro clienti di un provider tecnologico. L’azienda ha invalidato le credenziali utilizzate negli accessi abusivi, rimosso il malware, rafforzato il monitoraggio e avviato un’analisi forense con specialisti esterni, oltre a notificare le autorità e contattare individualmente gli utenti interessati. Sakura Internet ricopre inoltre un ruolo particolare nell’infrastruttura digitale giapponese perché fornisce servizi cloud e data center anche in un contesto di crescente attenzione nazionale verso la sovranità delle infrastrutture digitali.

CareCloud conferma dati sottratti da un ambiente AWS

Negli Stati Uniti l’incidente CareCloud assume invece una dimensione sanitaria. L’azienda aveva comunicato alla SEC già a marzo un’interruzione di circa otto ore nella divisione CareCloud Health, che aveva limitato temporaneamente funzionalità e accesso ai dati in uno dei sei ambienti di electronic health record. Nel Form 8-K depositato presso la Securities and Exchange Commission CareCloud aveva inizialmente spiegato di avere contenuto l’incidente il 16 marzo 2026 e coinvolto specialisti esterni per determinarne natura e portata. Le successive analisi hanno però mostrato che l’accesso iniziale risaliva a circa una settimana prima e che una quantità non ancora determinata di informazioni era effettivamente stata esfiltrata. L’attaccante avrebbe avuto accesso tra il 10 e il 16 marzo a uno degli ambienti AWS utilizzati dalla società e avrebbe dichiarato di avere sottratto dati dai database ospitati al suo interno.

Oltre 3,75 milioni di pazienti entrano nel conteggio del breach

La dimensione definitiva conosciuta finora è emersa attraverso le notifiche regolatorie. Nel portale delle violazioni dell’Office for Civil Rights del Department of Health and Human Services l’incidente CareCloud interessa 3.756.469 persone, rendendolo uno degli episodi sanitari più estesi comunicati nel 2026. CareCloud fornisce cartelle cliniche elettroniche, fatturazione medica, practice management e gestione del ciclo dei ricavi, quindi molti pazienti coinvolti potrebbero non avere mai avuto una relazione diretta o consapevole con l’azienda: i loro dati vengono elaborati perché CareCloud opera dietro le strutture sanitarie utilizzate quotidianamente. È la stessa dinamica osservata nei grandi breach sanitari provocati dalla compromissione dei fornitori tecnologici, dove un unico service provider può concentrare informazioni provenienti da milioni di persone e numerose organizzazioni clienti.

I dati sanitari trasformano un incidente cloud in un rischio duraturo

CareCloud non ha dettagliato pubblicamente nella lettera campione tutte le categorie di dati esposte per ogni individuo, oltre ai nomi, perché il contenuto può variare in funzione del rapporto del paziente con le strutture clienti. La società ha comunque avviato notifiche e servizi di protezione dell’identità, mentre non risultano al momento rivendicazioni pubbliche da parte di gang ransomware o gruppi di data extortion. L’assenza di una rivendicazione non riduce però il valore delle informazioni sottratte. Nel settore sanitario, dati identificativi e clinici possono mantenere utilità criminale per anni perché non sono sostituibili con la semplicità di una password. Il problema era già emerso con il breach MCBS e l’esposizione di informazioni sanitarie conservate da fornitori terzi: la concentrazione dei dati in piattaforme specializzate permette alle strutture mediche di esternalizzare servizi complessi, ma crea contemporaneamente target capaci di produrre milioni di vittime con una singola intrusione.

Dal ransomware al cloud, il dato resta la vera leva dell’estorsione

Ransom Busters, Sakura Internet e CareCloud non condividono lo stesso attaccante né la stessa catena tecnica, ma mostrano perché il dato sottratto sia diventato il vero elemento persistente dell’incidente cyber. Nel ransomware può essere utilizzato due volte dallo stesso affiliato, prima all’interno dell’operazione RaaS e successivamente attraverso un falso servizio di recupero. In un provider cloud come Sakura amplifica il rischio perché un singolo sistema commerciale concentra oltre un milione di account. In una piattaforma sanitaria come CareCloud trasforma la compromissione di un ambiente AWS in una violazione che raggiunge 3,75 milioni di persone. È una dinamica già visibile nell’aumento degli attacchi contro sanità, finanza e servizi digitali nel 2026: contenere l’intrusione e ripristinare i sistemi rappresenta soltanto la prima fase. Una volta copiate, le informazioni possono continuare a produrre phishing, frodi, ricatti e nuove estorsioni molto dopo il ritorno alla normale operatività.