MonsterCloud quảng cáo rằng họ sở hữu công nghệ đặc biệt để giải cứu dữ liệu bị mã hóa. Tuy nhiên, các công tố viên Mỹ cho rằng sự thật phía sau những màn “giải mã” này hoàn toàn khác.
Bộ Tư pháp Mỹ đã truy tố Zohar Pinhasi, 50 tuổi, chủ sở hữu công ty xử lý ransomware MonsterCloud tại Florida, với cáo buộc lừa đảo khách hàng. Pinhasi còn được biết đến dưới các tên “Zack Silver” và “Zack Green”.
MonsterCloud tìm kiếm khách hàng trong số những doanh nghiệp vừa bị ransomware tấn công. Công ty khuyến cáo nạn nhân không nên trực tiếp trả tiền cho tin tặc, đồng thời tuyên bố có “công cụ độc quyền” và “kỹ thuật giải mã tiên tiến” để khôi phục dữ liệu. Tuy nhiên theo cáo trạng, những công nghệ đặc biệt này có thể chưa từng tồn tại.
Âm thầm thương lượng với chính tin tặc
Các công tố viên cáo buộc MonsterCloud không tự phá mã hóa như quảng cáo. Thay vào đó, công ty bí mật liên hệ với nhóm ransomware, dùng một phần tiền thu từ khách hàng để trả tiền chuộc và nhận khóa giải mã.
Sau đó, nhân viên MonsterCloud sử dụng khóa do tin tặc cung cấp để thử khôi phục dữ liệu cho khách hàng. Công ty bị cáo buộc che giấu nguồn gốc của khóa giải mã và thu mức phí cao hơn đáng kể so với khoản tiền thực sự chuyển cho nhóm tấn công.
Trong một trường hợp vào khoảng tháng 8/2023, Pinhasi được cho là đã thu của khách hàng 150.000 USD, trong khi khoản tiền trả cho tin tặc chỉ vào khoảng 8.200 USD. Như vậy, chênh lệch giữa hai con số lên tới gần 142.000 USD.
Một khách hàng khác được cho là đã trả khoảng 380.000 USD cho MonsterCloud. Công ty sau đó chuyển khoảng 236.000 USD cho nhóm ransomware và giữ lại phần còn lại.
Cáo trạng còn cho rằng MonsterCloud từng trình bày một số tệp đã được giải mã làm bằng chứng về năng lực công nghệ. Tuy nhiên, những tệp mẫu này thực chất được lấy từ chính những kẻ điều hành ransomware.
Thu hơn 19 triệu USD từ các nạn nhân
Theo Bộ Tư pháp Mỹ, MonsterCloud đã thu tổng cộng hơn 19 triệu USD phí dịch vụ trong thời gian hoạt động, trong khi số tiền được chuyển cho các nhóm ransomware chỉ hơn 8 triệu USD.
Trang web của MonsterCloud từng tự mô tả đây không chỉ là một nhóm chuyên gia CNTT, mà là “đội chống khủng bố mạng tinh vi nhất thế giới”. Công ty cũng đăng tải lời chứng thực và nhiều nội dung quảng bá, trong đó có sự xuất hiện của ít nhất một người phát ngôn được trả tiền.
Năm 2019, người này đã liên hệ với Pinhasi để chất vấn về hoạt động kinh doanh và hỏi liệu MonsterCloud có thực sự sở hữu phần mềm riêng để giải mã dữ liệu hay không. Theo cáo trạng, Pinhasi khi đó thừa nhận công ty không có công nghệ độc quyền như đã quảng cáo.
Một cuộc điều tra của ProPublica từ năm 2019 cũng từng đề cập đến MonsterCloud và mô hình của một số công ty khôi phục dữ liệu: bí mật trả tiền chuộc rồi tính thêm phí cho nạn nhân. Pinhasi vào thời điểm đó phủ nhận việc công ty hứa trước rằng có thể giải mã dữ liệu hoặc cố tình đánh lừa khách hàng.
Pinhasi bị truy tố hai tội danh lừa đảo qua mạng và một tội danh âm mưu lừa đảo qua mạng. Nếu bị kết tội, ông có thể đối mặt mức án tối đa 20 năm tù đối với mỗi tội danh. Pinhasi đã không nhận tội và được tại ngoại với khoản bảo lãnh 2 triệu USD.
Bộ Tư pháp Mỹ lưu ý cáo trạng mới chỉ là những cáo buộc. Bị cáo vẫn được xem là vô tội cho đến khi hành vi phạm tội được chứng minh tại tòa.
Vụ việc cũng cho thấy một rủi ro ít được nhắc đến sau các cuộc tấn công ransomware. Nạn nhân không chỉ phải đối mặt với tin tặc mà còn có thể tiếp tục bị trục lợi bởi chính những đơn vị được thuê để giải cứu dữ liệu.
