La ricostruzione delle origini di Exploit.in mostra che l’attuale economia del ransomware non nasce da una improvvisa innovazione tecnica, ma dalla maturazione ventennale di una comunità criminale russofona. Tra il 2005 e il 2008 il forum riuniva quasi diecimila iscritti, oltre tredicimila discussioni e circa ottantamila messaggi. Accanto a malware, carte di pagamento, botnet, accessi compromessi e servizi pay-per-install trovavano spazio automobili, telefoni, giochi e conversazioni quotidiane. Questa commistione è strategicamente rilevante: il forum non era soltanto un mercato clandestino, ma un ambiente di socializzazione nel quale giovani utenti costruivano relazioni, reputazione e competenze destinate a sopravvivere alle singole piattaforme.
La persistenza degli stessi soggetti nei circuiti criminali contemporanei suggerisce che il principale capitale dell’ecosistema non sia il codice, facilmente sostituibile, bensì la fiducia accumulata. Una parte degli utenti attivi vent’anni fa compare ancora nei forum dell’epoca ransomware. Nel frattempo sono cambiati pseudonimi, piattaforme e strumenti, ma sono rimasti rapporti personali, conoscenze operative e criteri informali di affidabilità. Le operazioni di polizia che sequestrano server o chiudono un marchio incidono quindi sulla superficie organizzativa, senza necessariamente distruggere il tessuto sociale che permette al mercato di ricostituirsi.
L’odierno ransomware-as-a-service rappresenta l’industrializzazione di pratiche già visibili nel 2005. Le liste pubbliche di truffatori e venditori affidabili si sono trasformate in servizi di garanzia ed escrow; i livelli di accesso ai forum sono diventati procedure di selezione degli affiliati; la vendita di shell e sistemi compromessi si è evoluta nel mercato degli initial access broker. Gli operatori ransomware possono così concentrarsi su cifratura, negoziazione ed estorsione, acquistando da specialisti accessi, infrastrutture, malware e riciclaggio. La crescita della scala non ha modificato il disegno di fondo: ha reso più efficiente una divisione del lavoro già sperimentata nelle prime comunità criminali online.
Sul piano geostrategico, questa continuità aiuta a spiegare la resilienza del cybercrimine russofono. L’ecosistema è distribuito, modulare e fondato su identità pseudonime, ma non è privo di struttura. La reputazione svolge una funzione equivalente a quella delle istituzioni nei mercati legali, mentre forum e garanti riducono i rischi delle transazioni tra soggetti che non possono ricorrere ai tribunali. Ne deriva una forma di ordine criminale capace di sopravvivere alla repressione selettiva, alle rivalità interne e alla scomparsa di singole bande.
Il rapporto con lo spazio post-sovietico non deve essere letto automaticamente come una catena gerarchica controllata dallo Stato. È più plausibile parlare di un ambiente di tolleranza condizionata, nel quale l’azione repressiva può essere discontinua e influenzata dalla scelta delle vittime, dalle convenienze politiche e dal valore informativo degli attori. La separazione tra criminalità motivata dal profitto e attività utili agli interessi statali resta quindi permeabile. Competenze, infrastrutture e accessi possono essere acquistati, cooptati o sfruttati senza che ogni operazione richieda un ordine governativo diretto.
Questa ambiguità produce un vantaggio asimmetrico. Gli Stati occidentali devono proteggere economie digitalizzate, servizi pubblici e infrastrutture critiche altamente interconnesse; agli aggressori basta invece trovare un singolo accesso rivendibile. Il ransomware diventa così non soltanto criminalità economica, ma uno strumento di pressione sistemica: trasferisce ricchezza, impone costi di sicurezza, interrompe servizi essenziali e alimenta sfiducia nelle istituzioni. Anche quando manca una regia geopolitica, gli effetti possono convergere con gli interessi strategici di potenze ostili.
La risposta non può pertanto limitarsi all’arresto dei membri più visibili o alla neutralizzazione di una specifica variante malware. Occorre colpire le funzioni che rendono riproducibile il mercato: broker di accesso, servizi di garanzia, infrastrutture di hosting, canali finanziari, intermediari del riciclaggio e meccanismi reputazionali. È inoltre necessario aumentare il costo della tolleranza statale attraverso sanzioni mirate, cooperazione giudiziaria e pressione diplomatica, evitando però di confondere automaticamente lingua, provenienza geografica e controllo governativo.
La lezione principale è che il ransomware contemporaneo costituisce un ecosistema sociale prima ancora che tecnologico. I suoi strumenti cambiano rapidamente, mentre reti di fiducia, specializzazione professionale e cultura operativa persistono per decenni. Una strategia efficace deve quindi misurare il successo non dal numero di siti sequestrati o di marchi scomparsi, ma dalla capacità di interrompere relazioni, reputazioni e servizi indispensabili alla rigenerazione del mercato criminale.
Fonte: Security Affairs – Exploit.in Database Reveals the Roots of Today’s Ransomware Ecosystem
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
