Zohar Pinhasi prometia desxifrar atacs de programari de segrest sense negociar amb els ciberdelinqüents amb una eina pròpia, però en realitat pagava els rescats en secret i inflava el cost als clients.

El Departament de Justícia dels EUA ha imputat per frau electrònic Zohar Pinhasi, propietari de l’empresa de ciberseguretat MonsterCloud i un especialista conegut del sector.

Pinhasi, de 50 anys i de nacionalitat estatunidenca i israeliana, venia a empreses víctimes de ciberatacs una solució «ètica» per recuperar els seus sistemes sense cedir al xantatge dels pirates informàtics. Tot i això, en realitat pagava en secret als mateixos extorsionadors i cobrava als seus clients tarifes desorbitades pel servei, amb marges de benefici de fins al 1.700%.

Segons  l’acusació formal presentada davant un gran jurat del Districte Est de Nova York, l’executiu feia servir àlies com ara «Zack Silver» i «Zack Green» per comercialitzar un suposat mètode basat en «eines pròpies» i «tècniques avançades de desxifratge».

Però tot era un engany. MonsterCloud realment no disposava de tecnologia pròpia per desbloquejar els fitxers xifrats per aquests incidents. L’empresa contactava directament amb els ciberdelinqüents, abonava la suma exigida per obtenir la clau de recuperació i posteriorment facturava a la víctima sumes substancialment superiors al rescat pagat.

Gràcies a aquesta maniobra, desenvolupada entre el 2018 i el 2023, l’empresa va arribar a facturar més de 19 milions de dòlars a organitzacions en crisi, mentre desemborsava en secret uns 8 milions de dòlars als extorsionadors. 

En un cas conegut de l’agost del 2023, Pinhasi va pagar prop de 8.200 dòlars a un ciberdelinqüent per la clau de desxifratge i va cobrar al client aproximadament 150.000 dòlars per la suposada intervenció tècnica.

Després de comparèixer a Brooklyn, l’acusat es va declarar no culpable i va quedar en llibertat sota una fiança de 2 milions de dòlars.  

Victimització per partida doble

Les autoritats federals han criticat durament la conducta de l’empresari per lucrar-se amb la vulnerabilitat de les empreses afectades. 

1. Tysen Duva, fiscal general adjunt de la Divisió Penal del Departament de Justícia, ha subratllat la gravetat dels fets: «S’acusa Pinhasi d’oferir una alternativa als pagaments de rescat, però, en comptes d’això, presumptament tornava a victimitzar la víctima i cometia un frau addicional, amb el qual li causava un nou perjudici.»

En la mateixa línia, el fiscal federal Joseph Nocella Jr., responsable del Districte Est de Nova York, ha remarcat l’impacte d’aquest tipus d’enganys al sector de la seguretat digital: «En afirmar falsament que desxifrava el programari de segrest sense pagar els extorsionadors, l’acusat va tornar a victimitzar els seus clients mentre obtenia un benefici econòmic substanciós.»

D’altra banda, James C. Barnacle Jr., director adjunt de l’FBI, ha criticat que l’expert de seguretat convertís la crisi de les víctimes en «la seva pròpia font de beneficis».

Pinhasi s’enfronta a dos càrrecs de frau electrònic i un càrrec de conspiració per cometre frau electrònic, delictes que comporten una pena màxima de fins a 20 anys de presó per cadascun. 

Tant l’FBI com l’Agència de Seguretat d’Infraestructura i Ciberseguretat (CISA) recorden que no es recomana pagar rescats pels ciberatacs, atès que el desemborsament no garanteix la recuperació de la informació ni evita futures filtracions.