Decine di aziende italiane finite nei leak site tra luglio e agosto. Qilin, LockBit5, TheGentlemen, DragonForce e altri gruppi colpiscono manifattura, servizi, telecomunicazioni, editoria e utility. Il problema non è più soltanto il singolo attacco: è la fragilità strutturale di un ecosistema digitale sempre più esposto.
L’estate 2026 sta mostrando con particolare evidenza quanto il ransomware rappresenti ormai una minaccia strutturale per il sistema produttivo italiano. I dati raccolti nei monitoraggi pubblici e la sequenza di rivendicazioni emerse tra luglio e agosto raccontano un fenomeno che non si limita a pochi grandi bersagli: nel mirino finiscono soprattutto imprese, fornitori di servizi, società manifatturiere e realtà di dimensioni medio-piccole.
Nel dataset fornito per questa analisi compaiono 34 rivendicazioni relative a organizzazioni italiane tra luglio e il 20 agosto, distribuite tra numerosi gruppi criminali. È un campione che non va automaticamente interpretato come 34 incidenti confermati: una rivendicazione pubblicata da un gruppo ransomware costituisce innanzitutto un claim e necessita, quando possibile, di una verifica indipendente.
Il monitoraggio di Ransomfeed, aggiornato ad agosto, censisce oltre 800 attacchi ransomware associati all’Italia nel proprio database storico. Nello stesso elenco compaiono, tra gli altri, Qilin, LockBit5, TheGentlemen, Cl0p, DragonForce, Deadlock e SafePay.
Luglio: la pressione non si ferma
Nel mese di luglio le rivendicazioni riguardano una pluralità di settori. Nel campione analizzato figurano SistNet, Auto Royal Company, Sicc, Casta Diva Group, SITAV, SIRSA, Retelit, Ravagnan, Vicenzi Group, Biessse, Studio Sardano, Dini Srl, Pasello e Takis.
La caratteristica più significativa non è soltanto il numero, ma la frammentazione dei bersagli.
Qilin compare contro realtà diverse come Sicc e Retelit; LockBit5 rivendica SIRSA e Ravagnan; TheGentlemen punta su Vicenzi Group; DragonForce compare nel caso SITAV; Deadlock rivendica Pasello e Takis.
La fotografia suggerisce una strategia criminale estremamente industrializzata: non è necessario individuare esclusivamente il grande gruppo nazionale. Una PMI con infrastrutture esposte, sistemi non aggiornati o procedure di autenticazione insufficienti può rappresentare un bersaglio economicamente interessante.
Agosto accelera
Nel dataset compaiono rivendicazioni contro New Point, Vemec, STNET.IT, FERRARI MANGIMI, IPS, ACLI, ASCOM, Loescher Editore, Zanichelli, Agricolagalbusera.it, oltre a numerose organizzazioni presenti nell’elenco del 16-20 agosto: Coface, Mulino Padano, Doimo Cucine, Euroscreen, SIPRES, CTP, Alto Calore Servizi, Tedesco & Partners, POEMA, Elbor, TECNOLOGICA ed ELCON MEGARAD.
Anche in questo caso, tuttavia, occorre evitare un errore frequente nella lettura dei leak site: una rivendicazione non equivale automaticamente a un attacco tecnicamente verificato né dimostra da sola l’avvenuta esfiltrazione dei dati dichiarati.
Secondo una ricostruzione pubblicata ad agosto, nella sola settimana 6-13 agosto otto gruppi ransomware avrebbero rivendicato 15 vittime italiane, il valore settimanale più elevato rilevato nel monitoraggio citato dall’analisi.
Telsy ha inoltre documentato, nella settimana di metà agosto, una lunga serie di nuove rivendicazioni contro organizzazioni italiane, attribuite a TheGentlemen, Krybit, Play, BravoX, Qilin, Space Bears, Cl0p, BlackNevas e Majinahanashi.
Il caso Retelit e il rischio della supply chain
Tra gli episodi più delicati dell’estate c’è quello relativo a Retelit, operatore attivo nelle telecomunicazioni e nei servizi cloud.
Secondo la ricostruzione pubblicata ad agosto, Qilin avrebbe rivendicato il furto di circa 300 GB di dati, pari a circa 270 mila file, con pubblicazione dei dati tra il 30 luglio e il primo agosto. La particolarità del caso non riguarda soltanto la quantità di informazioni dichiaratamente sottratte, ma il ruolo dell’azienda nella catena tecnologica: un attacco a un fornitore di connettività o servizi cloud può avere conseguenze che vanno ben oltre il perimetro dell’azienda direttamente colpita.
È qui che emerge una delle criticità più importanti per l’Italia: la sicurezza del singolo ente non è più sufficiente.
Un’organizzazione può avere sistemi interni relativamente protetti e rimanere comunque esposta attraverso software, consulenti, fornitori IT, servizi cloud, VPN o infrastrutture gestite da terzi.
Qilin mette a nudo le debolezze
Un bollettino del CSIRT italiano dedicato a Qilin definisce l’impatto sistemico della minaccia come critico. L’analisi rileva attacchi soprattutto contro PMI, ma anche contro importanti fornitori di servizi cloud. Tra i vettori di accesso vengono indicati lo exploit di vulnerabilità note su apparati esposti a Internet e la compromissione di credenziali VPN attraverso brute force o Initial Access Broker.
Al contrario, una parte degli attacchi sfrutta problemi conosciuti e rimediabili: apparati non aggiornati, credenziali compromesse, servizi esposti, autenticazione multifattore assente o applicata in modo incompleto.
Il CSIRT evidenzia inoltre come Qilin utilizzi tecniche pensate per colpire anche ambienti di virtualizzazione VMware ESXi, combinando ransomware, strumenti legittimi, software open source e componenti personalizzati.
Un problema anche culturale
I numeri del CERT-AGID mostrano quanto sia ampia la superficie di attacco. Nella settimana 25-31 luglio sono state analizzate 140 campagne malevole, 94 delle quali con obiettivi italiani; nella settimana 1-7 agosto il totale è stato di 135 campagne, con 97 obiettivi italiani.
Serve una cultura aziendale nella quale l’aggiornamento dei sistemi, la MFA, la segmentazione delle reti, il monitoraggio degli accessi privilegiati e la verifica dei backup siano considerati processi operativi fondamentali, non progetti da affrontare dopo un incidente.
La vulnerabilità delle PMI
La struttura industriale nazionale è caratterizzata da una forte presenza di PMI. Molte possiedono sistemi informatici essenziali per produzione, logistica, amministrazione e rapporti con clienti e fornitori, ma non dispongono necessariamente di un Security Operations Center, di personale specializzato o di risorse paragonabili a quelle di una grande multinazionale.
L’attaccante può automatizzare scansioni, acquisire credenziali attraverso mercati clandestini, sfruttare vulnerabilità già note e utilizzare modelli Ransomware-as-a-Service. La vittima, invece, deve difendersi con risorse limitate e spesso deve mantenere operativi sistemi che non può semplicemente spegnere o sostituire.
È una partita profondamente sbilanciata.
Il tuo dominio è stato
colpito da ransomware?
Verifica subito se il tuo dominio compare nello storico degli attacchi ransomware monitorati. I dati vengono cercati su tutto lo storico disponibile. Ransomware Watchlist.
