Ex analista condannato per l’estorsione ai danni di Brightly Software

Due anni di carcere per la campagna estorsiva

Cameron Curry, 27 anni, cittadino della Carolina del Nord noto online come “Loot”, è stato condannato a due anni di reclusione per avere estorto Brightly Software, azienda SaaS acquisita da Siemens.

La condanna è stata riferita il 14 agosto 2026. Curry era stato riconosciuto colpevole a marzo, dopo un’indagine condotta dall’FBI e dal Department of Justice.

Il caso riguarda un attacco interno condotto da un ex collaboratore con accesso legittimo a informazioni aziendali. Curry lavorava per Brightly come analista dati a contratto. Il suo incarico, della durata di sei mesi, non sarebbe stato rinnovato.

Dopo la conclusione del contratto, il 10 dicembre, avrebbe iniziato a utilizzare dati ottenuti durante l’attività lavorativa per fare pressione sull’azienda.

Le e-mail firmate “Loot” e la richiesta da 2,5 milioni

Tra l’11 dicembre 2023 e il 24 gennaio 2024, Curry avrebbe inviato numerose e-mail a dipendenti di Brightly. Per le comunicazioni utilizzava l’alias “Loot” e l’indirizzo [email protected].

Il messaggio era una richiesta di riscatto da 2,5 milioni di dollari in criptovaluta. In cambio, l’attore minacciava di non pubblicare documenti sottratti all’azienda e informazioni personali sui dipendenti.

Le minacce prevedevano una divulgazione progressiva. Curry sosteneva che avrebbe iniziato a rendere pubblici i dati sulle retribuzioni dal 1° gennaio 2024, aumentando poi la quantità di informazioni diffuse nel tempo.

Il ricatto includeva anche una penale: il pagamento sarebbe aumentato di 100.000 dollari per ogni mese di ritardo. Curry affermava inoltre di avere individuato discrepanze contabili superiori a 16 milioni di dollari e minacciava di segnalare Brightly alla U.S. Securities and Exchange Commission per una presunta mancata comunicazione della violazione.

Le e-mail contenevano schermate con informazioni personali identificabili. Tra i dati comparivano nomi, date di nascita, indirizzi di abitazione e informazioni sulla retribuzione.

Brightly ha infine trasferito 7.540 dollari in Bitcoin a un portafoglio controllato da Curry. Il pagamento non ha coinciso con la richiesta iniziale, molto più elevata, ma costituisce comunque un trasferimento di fondi all’estorsore.

Non è noto se i dati siano stati effettivamente pubblicati, né quale quantità di documenti sia stata sottratta o consultata.

Il rischio per dipendenti e azienda

L’episodio combina tre elementi distinti: abuso di accessi legittimi, sottrazione di documenti sensibili ed estorsione basata sulla minaccia di divulgazione.

Per i dipendenti, l’esposizione potenziale riguarda dati anagrafici, residenziali e occupazionali. Le informazioni sulle retribuzioni possono inoltre facilitare frodi mirate, campagne di phishing o tentativi di impersonificazione rivolti al personale.

Per Brightly, il danno potenziale non riguarda soltanto la privacy. Le minacce potevano produrre conseguenze reputazionali, contenziosi e attenzione da parte delle autorità di regolamentazione. Le presunte anomalie contabili superiori a 16 milioni di dollari aggiungevano un ulteriore elemento di pressione, anche se il caso giudiziario riguarda l’estorsione e il furto dei dati.

La vicenda mostra anche una caratteristica tipica delle minacce interne: l’attaccante non deve necessariamente superare un sistema di autenticazione o sfruttare una vulnerabilità software. Può utilizzare autorizzazioni assegnate per il lavoro, raccogliere informazioni durante il rapporto professionale e conservarle dopo la cessazione dell’incarico.

Il rischio aumenta quando l’accesso ai dati payroll non è limitato alle attività indispensabili o quando la revoca degli account e il monitoraggio delle copie locali non avvengono tempestivamente.

La perquisizione e il ruolo delle autorità

Dopo la denuncia, l’FBI ha perquisito l’abitazione di Curry il 24 gennaio e ha sequestrato diversi dispositivi elettronici. I dispositivi contenevano elementi che lo collegavano alla campagna estorsiva.

Il sequestro forense ha fornito agli investigatori materiale digitale utile a ricostruire le comunicazioni, l’uso dell’identità “Loot” e il possesso dei documenti aziendali.

Brightly ha dichiarato di avere collaborato pienamente con FBI e Department of Justice. Le informazioni rese pubbliche indicano come misure documentate la denuncia, la cooperazione con gli investigatori e l’acquisizione forense dei dispositivi.

Non sono invece note ulteriori contromisure tecniche adottate dall’azienda nel caso specifico. Non risultano pubblicamente indicati dettagli su revoca delle credenziali, rotazione dei segreti, segmentazione degli accessi, conservazione dei log o monitoraggio dedicato degli account utilizzati dall’ex collaboratore.

Per le organizzazioni, la risposta a un caso simile dovrebbe includere almeno la preservazione delle evidenze, l’analisi degli accessi effettuati, la verifica dei dati copiati e la valutazione degli obblighi di notifica. Queste attività non sono però attribuite pubblicamente a Brightly oltre alla collaborazione con le autorità.

Un episodio distinto dalla violazione SchoolDude

Brightly Software fornisce strumenti per la gestione e la manutenzione degli asset a oltre 12.000 clienti nel mondo e conta più di 700 dipendenti. L’azienda era precedentemente denominata SchoolDude ed è stata acquisita da Siemens nell’agosto 2022.

Il caso Curry non coincide con la violazione resa pubblica da Brightly nel maggio 2023. In quell’episodio, aggressori non identificati avevano sottratto dal database della piattaforma online SchoolDude credenziali e dati personali.

Le informazioni coinvolte comprendevano nomi, indirizzi e-mail, password degli account e numeri di telefono. L’incidente aveva interessato quasi 3 milioni di clienti e utenti.

I due eventi hanno natura diversa. La violazione SchoolDude riguardava un attacco attribuito ad aggressori non identificati contro un database online. L’indagine su Curry riguarda invece un ex collaboratore identificato, l’uso di accessi ottenuti durante il rapporto di lavoro e una successiva richiesta estorsiva.

Per chi gestisce dati sensibili, il precedente rafforza una conclusione pratica: proteggere il perimetro esterno non basta. Occorre controllare anche chi può vedere, esportare e conservare informazioni interne, soprattutto nei sistemi che trattano paghe e dati personali.