Ruag ha pagato un riscatto agli hacker per recuperare i dati della sua filiale USA
L'azienda svizzera di armamenti Ruag ha versato un riscatto al gruppo di hacker Akira, che lo scorso autunno aveva violato la filiale statunitense Ruag LLC.
«Abbiamo pagato una piccola cifra e fortunatamente abbiamo recuperato tutti i dati», ha confermato alla radio di servizio pubblico svizzerotedesca SRF il presidente del Consiglio d'amministrazione di Ruag, Jörg Rötheli, senza però precisare l'entità del pagamento.
Lo scorso autunno gli hacker si erano impossessati di dati di sistema di Ruag LLC e avevano minacciato di renderli pubblici.
La scelta di pagare va in contrasto con le indicazioni dell'Ufficio federale della cibersicurezza (UFCS) che in linea di principio sconsiglia di versare riscatti, per non incoraggiare ulteriori attacchi e contribuire così al finanziamento di attività criminali.
Un business spesso milionario
L'azienda britannica di cibersicurezza Sophos ha stimato che nel 2025 le richieste di riscatto presentate alle aziende di tutto il mondo erano mediamente di 1,2 milioni di dollari (circa 955.000 franchi). I dati sono tratti da un sondaggio che ha coinvolto 3.400 responsabili IT e della sicurezza informatica in 17 nazioni, le cui ditte sono state colpite lo scorso anno da un attacco ransomware.
Anche la Svizzera ha fatto parte dell'indagine, con 74 aziende coinvolte. Sophos per gli attacchi nella Confederazione riporta un riscatto medio di 328.748 dollari, ma nel 46% dei casi la richiesta ha superato il milione di dollari. Ventidue della aziende elvetiche interrogate hanno riferito di aver effettivamente pagato un riscatto, la cui cifra media si attesta a 1,1 milioni di dollari.
L'istituto Tinbergen di tre università olandesi ha invece realizzato uno studio l'anno scorso riguardo a 481 casi denunciati alla polizia e 237 verbali riguardo ad attacchi di 23 ransomware, tra cui Akira, autore del colpo ai danni della Ruag LLC. La richiesta mediana di questo gruppo - il più attivo con 61 trattative valutate - è di 390.000 dollari. Un terzo dei casi si è poi tramutato in un pagamento effettivo, ma per valori nettamente più bassi, con una mediana di 150'000 dollari.
Secondo il Tinbergen si tratta di una strategia comune di questi gruppi: richiedere una cifra che per l'azienda colpita sia dolorosa ma ancora realistica.