Sommario settimana
La settimana 21-27 settembre 2026 ha visto un’attività ransomware senza precedenti da parte del gruppo Clop, che ha pubblicato oltre 15 vittime in un singolo giorno (23 settembre), segnando uno dei picchi più elevati mai registrati. Contestualmente, il gruppo ImNotAVillain ha pubblicato una vittima indicata semplicemente come “Italia” con 150GB di dati e oltre 85.000 file, mentre tre organizzazioni italiane sono state confermate tra le vittime di emperador, booba project e rhysida. La settimana offre un quadro chiaro: i gang ransomware stanno accelerando il volume di pubblicazioni, con Clop che sembra aver adottato una strategia di saturazione mediatica.
Le notizie principali
Clop lancia un’ondata di oltre 15 vittime in 24 ore
Il 23 settembre, il gruppo Clop ha pubblicato un numero senza precedenti di vittime in un arco temporale di poche ore: ALDOGROUP (calzature, Canada), SUUNTO (strumenti sportivi, Finlandia), Kirkland & Ellis LLP (studio legale, Chicago), Infinigate (distributore cybersecurity, Svizzera/UK), Umpqua Bank/Columbia Banking (finanza, USA), Transport NSW (governo australiano), e numerose altre entità. Il volume di pubblicazioni in un arco temporale così breve è uno dei picchi più elevati mai registrati per il gruppo. (Fonte: OpenCTI)
ImNotAVillain colpisce l’Italia: 150GB e 85.000+ file
Il 24 settembre, il gruppo ImNotAVillain ha pubblicato una vittima identificata semplicemente come “Italia”, accusando il Paese di non aver seguito le normative sulla protezione dei dati. I dati promessi includono oltre 85.000 file per un totale di 150GB, coinvolgendo “top departments, units, offices”. La natura generica della denominazione (“Italy” invece di un nome organizzativo) suggerisce un attacco a livello governativo o una vittima istituzionale di grande portata. (Fonte: OpenCTI)
Studio Notarile Favarato — Vittima italiana di emperador
Il 20 settembre, emperador ha pubblicato come vittima lo “Studio Notarile Associato Salvatore Costantino E Anna Favarato” di Follina (TV), con “several thousand documents” tra cui dati clienti e dipendenti. Il settore notarile rappresenta un bersaglio ad alto valore per la concentrazione di dati sensibili e finanziari. (Fonte: OpenCTI)
COSEF Friuli — Vittima italiana di booba project
Il 23 settembre, booba project ha pubblicato il “Consorzio di Sviluppo Economico del Friuli” come vittima, con 200GB di dati rubati. I 200GB di dati rubati confermano la rilevanza dell’organizzazione nel territorio del Friuli-Venezia Giulia. (Fonte: OpenCTI)
NEAD Pro — Vittima italiana di rhysida
Il 24 settembre, rhysida ha pubblicato NEAD Pro, un’azienda multidisciplinare con sedi a Gorizia e Udine che offre consulenza legale, fiscale, fallimentare e contabile. La vittima è stata identificata tramite un network share situato in Via Roma 20, Gorizia. (Fonte: OpenCTI)
CSIRT Italia: nuove avvisi IOCs per malware attivi
Nel corso della settimana, il CSIRT Italia ha pubblicato avvisi contenenti indicatori di compromissione (IOCs) per numerosi strumenti di accesso remoto e malware: Remcos, 404 Keylogger, QuasarRat, Meterpreter, Nanocore, LodaRAT, SocGholish, Cobalt Strike, Agent Tesla, e GuLoader. La frequenza degli avvisi (quasi quotidiana) conferma l’attività sostenuta di questi tool nella fase iniziale delle compromissioni. (Fonte: CSIRT-Italia)
Akira: espansione geografica con vittime in Slovenia e USA
Il gruppo akira ha continuato l’espansione con nuove vittime: HIT d.d. (Nova Gorica, Slovenia — intrattenimento e casinò), Apex Litigation Support (USA), Urban Engineering (Annandale, USA), Wallatec (sistemi di carbonazione per ristoranti), e Strack Companies (costruzioni, Minnesota). La presenza di HIT d.d. in Slovenia, vicino al confine italiano con il Friuli, merita attenzione per possibili implicazioni regionali. (Fonte: OpenCTI)
Ransomware e gang attive
Clop — Il gang più attivo della settimana, con oltre 15 vittime in un singolo giorno. Il targeting è eterogeneo: studi legali, banche, trasporti governativi, retail, distribuzione IT. La strategia sembra essere volume elevato con pubblicazioni rapide.
Emperador — Ha colpito uno studio notarile italiano e un’azienda di healthcare negli USA (Alabama Woman’s Health Care). Targeting verticale su professionisti con dati sensibili.
Rhysida — Ha colpito NEAD Pro in Friuli-Venezia Giulia e Legis (editore legale latinoamericano).
Booba Project — Ha colpito il COSEF Friuli (200GB), Washington County e Smart Eye Care negli USA.
Akira — In espansione geografica, con vittime in USA, Slovenia, Australia e Italia (Wallatec).
ImNotAVillain — Ha pubblicato la vittima “Italia” con 150GB di dati. La genericità del nome suggerisce un attacco istituzionale.
Qilin — Attivo con almeno 8 vittime nella settimana, tra cui Touring Club Suisse, Air Tanzania, e aziende in Sud America.
Vulnerabilità rilevanti per il contesto italiano
La settimana non ha registrato vulnerabilità zero-day attivamente sfruttate di rilievo nei feed. Tuttavia, la presenza massiccia di IOCs per tool di accesso remoto (Remcos, Cobalt Strike, Agent Tesla, GuLoader) da parte del CSIRT Italia indica che le compromissioni in corso utilizzano prevalentemente questi strumenti nella fase di initial access e persistence. Per un SOC, la priorità dovrebbe essere la monitorizzazione di questi IOCs e la verifica della presenza di indicatori di compromissione correlati nelle reti interne.
Le tre vittime italiane confermate (studio notarile Favarato, COSEF Friuli, NEAD Pro) mostrano un pattern di targeting su studi professionali e enti territoriali del Nord-Est, un’area che potrebbe essere particolarmente esposta a causa della concentrazione di PMI e studi professionali.
Prospettiva
La settimana 21-27 settembre 2026 presenta due trend distinti ma complementari. Da un lato, Clop ha dimostrato che il ransomware come servizio (RaaS) è ormai un’industria di volume: pubblicare 15+ vittime in 24 ore richiede un’infrastruttura robusta e un processo di verifica automatizzato. Dall’altro, la vittima “Italia” di ImNotAVillain — con 150GB e 85.000+ file — suggerisce che alcuni gang stanno iniziando a usare la geografia come target, non solo le organizzazioni specifiche. Per i team SOC italiani, la lezione è chiara: monitorare gli IOCs del CSIRT Italia quotidianamente, non settimanalmente, e preparare piani di risposta che considerino la possibilità di compromissioni a livello istituzionale. La concentrazione di vittime nel Nord-Est italiano merita un’analisi più approfondita per identificare eventuali vettori di attacco comuni o campagne mirate.
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì