Sommario settimana
La settimana dal 12 al 18 ottobre 2026 è stata caratterizzata da un’intensa attività di estorsione e pubblicazione di presunte vittime sui leak site ransomware. Il gruppo N0n si è distinto per volume di rivendicazioni, con una pubblicazione in blocco di 38 organizzazioni legate al settore marittimo, portuale e logistico il 12 ottobre. Le segnalazioni includono aziende italiane e internazionali, ma non costituiscono di per sé una conferma indipendente delle compromissioni. Nel contesto italiano, Alma Center Servizi Medicali S.r.l. è stata inserita nel leak site di spacebears il 15 ottobre e Mastelli S.r.l. in quello di qilin il 18 ottobre. Entrambe le segnalazioni devono essere considerate rivendicazioni non confermate, in assenza di riscontri indipendenti.
Le altre attività rilevanti comprendono le rivendicazioni di Wallstreet in Svezia, con organizzazioni dei settori professionale, manifatturiero e sanitario, e quelle di everest, che includono aziende sanitarie e organizzazioni industriali, oltre al progetto del Brenner Base Tunnel. La vista OpenCTI consultata non ha registrato nuove vulnerabilità critiche nella finestra considerata. Il feed acquisito riporta inoltre IOC associati a diverse famiglie malware e nuovi campioni segnalati da MalwareBazaar e ThreatFox. Questi dati richiedono correlazione con le fonti originali e con la telemetria interna prima di essere utilizzati come evidenza di compromissione.
Le notizie principali
1. N0n: pubblicazione massiva di organizzazioni del settore marittimo e logistico
Il 12 ottobre il gruppo N0n ha pubblicato una serie di rivendicazioni che coinvolgono 38 organizzazioni associate al settore marittimo, ai terminal portuali, alle spedizioni e alla logistica. Tra i nomi riportati dalle fonti OSINT figurano Santos Brasil, Ocean Network Express, Portonave, ZPMC, NEOM Ports, Pusan Newport Company, BNCT, TTI Algeciras, Eurogate Tanger, ILCS Pelindo e Camellia Line.
La concentrazione delle pubblicazioni nella stessa giornata evidenzia un’attività di estorsione focalizzata su organizzazioni distribuite in più Paesi e lungo la catena internazionale dei trasporti. Tuttavia, le informazioni disponibili non permettono di stabilire se si tratti di intrusioni distinte, di accessi riconducibili a una risorsa condivisa oppure di rivendicazioni non supportate da compromissioni effettive. Le organizzazioni interessate non risultavano aver confermato pubblicamente gli incidenti nelle fonti consultate.
È quindi più corretto parlare di una campagna di rivendicazioni concentrata sul settore marittimo e logistico, senza attribuire automaticamente al gruppo una compromissione riuscita delle infrastrutture elencate. L’impatto operativo e l’eventuale sottrazione di dati devono essere verificati separatamente.
Fonti: SOCRadar, analisi delle rivendicazioni N0n nel settore marittimo, Ransomware Tracker, analisi della pubblicazione del 12 ottobre.
2. Due organizzazioni italiane pubblicate nei leak site ransomware
-
Alma Center Servizi Medicali S.r.l. Il nome dell’organizzazione è comparso nel leak site del gruppo spacebears il 15 ottobre 2026. La segnalazione riguarda un’organizzazione sanitaria italiana. La pubblicazione costituisce una rivendicazione del gruppo e non dimostra, da sola, che l’accesso ai sistemi sia riuscito o che siano stati sottratti dati. Le fonti consultate non riportano una conferma indipendente dell’incidente.
Fonte: analisi della rivendicazione relativa ad Alma Center. -
Mastelli S.r.l. Il nome dell’azienda è comparso nel leak site di qilin il 18 ottobre 2026. I tracker classificano l’organizzazione italiana nel settore manifatturiero e riportano la segnalazione come rivendicazione. Non sono disponibili, nelle fonti consultate, evidenze indipendenti sufficienti per confermare l’effettiva compromissione o la natura dei dati eventualmente sottratti.
Fonte: SOCRadar, scheda della rivendicazione relativa a Mastelli.
Le due segnalazioni richiedono attenzione per il contesto sanitario e manifatturiero italiano, ma non devono essere presentate come incidenti confermati senza comunicazioni delle organizzazioni interessate o ulteriori riscontri attendibili.
3. Wallstreet: concentrazione di rivendicazioni in Svezia
Il 13 ottobre il gruppo Wallstreet ha pubblicato diverse rivendicazioni relative a organizzazioni svedesi. Tra quelle riportate dai tracker figurano Ahlqvist & Almqvist Arkitekter AB, Englunds Konsultbyrå AB, Spectrum Arkitekter AB, Vendus Sweden AB, Fab Support AB, Byrån för Arkitektur och Urbanism, Briab Group AB, Brunnberg & Forshed Arkitektkontor e Danvikshem.
Le organizzazioni appartengono a settori differenti, tra cui servizi professionali, architettura, manifattura e assistenza sanitaria. La concentrazione temporale delle pubblicazioni suggerisce un gruppo di rivendicazioni riferite al mercato svedese, ma non dimostra che gli eventi derivino da una singola intrusione o da una campagna coordinata con una modalità operativa comune.
Anche in questo caso, la presenza di un’organizzazione sul leak site deve essere distinta dalla conferma dell’incidente. La valutazione del rischio per il settore richiede la verifica delle singole segnalazioni e delle eventuali comunicazioni ufficiali.
Fonti: ThreatFusionAI, eventi ransomware segnalati in Svezia, HackerFeeds, attività e rivendicazioni attribuite a Wallstreet.
4. Everest: rivendicazioni in ambito sanitario, industriale e infrastrutturale
Nel periodo considerato, il gruppo everest ha pubblicato rivendicazioni relative a organizzazioni di diversi settori. Tra i nomi riportati dai tracker figurano Laerdal e Topcon Healthcare, entrambe riconducibili al settore sanitario, oltre a Chugoku Bend e Taekwang Network in ambito industriale e al Brenner Base Tunnel, progetto infrastrutturale ferroviario transfrontaliero.
Le date di pubblicazione riportate nelle fonti si concentrano tra il 13 e il 17 ottobre. La presenza del Brenner Base Tunnel nell’elenco rende la segnalazione rilevante per il monitoraggio delle infrastrutture di trasporto, ma non dimostra che l’infrastruttura ferroviaria sia stata effettivamente compromessa o che vi siano state conseguenze sulla continuità operativa.
Le informazioni disponibili descrivono le rivendicazioni pubblicate, non la verifica indipendente degli incidenti. È pertanto necessario evitare di classificare tutte le organizzazioni elencate come vittime confermate o di dedurre l’esistenza di una campagna coordinata contro le infrastrutture critiche.
Fonte: ThreatCluster, attività e organizzazioni rivendicate da everest.
5. THE SEVEN DEADLY SINS: rivendicazioni in più settori
Il gruppo THE SEVEN DEADLY SINS ha pubblicato il 15 ottobre rivendicazioni relative a sette organizzazioni, tra cui Canva, Hospital Sírio-Libanês, Harness Inc., Verano Holdings Corp., Globeia Inc., iHeartJane e Cradlewise Inc. I nomi elencati appartengono a settori diversi, tra cui tecnologia, servizi software, sanità e commercio.
Le fonti di monitoraggio indicano che le organizzazioni sono state nominate dal gruppo, ma non forniscono una conferma indipendente della compromissione di ciascuna di esse. Non è quindi possibile dedurre dalla sola lista un’unica campagna contro uno specifico settore o un impatto operativo comune.
Per l’attività di threat intelligence è opportuno conservare i riferimenti alle singole rivendicazioni, verificare l’identità delle organizzazioni coinvolte e distinguere la data di pubblicazione dalla data effettiva dell’eventuale intrusione.
Fonti: SecureResearch, profilo del gruppo e rivendicazioni, SOCRadar, attività del gruppo.
6. IOC giornalieri CSIRT Italia
Il feed CSIRT Italia acquisito tramite OpenCTI riporta IOC associati a diverse famiglie malware e strumenti di attacco, tra cui Agent Tesla, Cobalt Strike, Nanocore, NetWire, AsyncRAT, Meterpreter, DanaBot, NJRat, Remcos, Formbook, GuLoader, Amadey e DeimosC2.
L’elenco rappresenta una sintesi dei dati acquisiti dal feed e non dimostra che tutte le famiglie siano state osservate in nuove campagne durante ciascun giorno della finestra. Per un impiego operativo, è necessario mantenere la tracciabilità della fonte originale, della data di pubblicazione, del tipo di indicatore, della famiglia malware associata e dell’eventuale contesto della campagna.
Gli IOC devono essere correlati con i log SIEM, la telemetria EDR e le attività osservate sugli endpoint prima di procedere con blocchi o attività di contenimento. La sola presenza di un indicatore in un feed non è sufficiente a confermare una compromissione.
Fonte: feed CSIRT Italia acquisito tramite OpenCTI. La verifica puntuale dell’elenco richiede i riferimenti originali delle singole pubblicazioni e degli indicatori.
7. Nuovi malware in MalwareBazaar e ThreatFox
Gli eventi acquisiti da OpenCTI riportano un campione associato a UmbralStealer con data del 16 ottobre e ulteriori segnalazioni provenienti da ThreatFox il 17 ottobre. Tra i nomi presenti nel feed figurano win.dynamicstealer, py.poet_rat, win.shimrat, win.ravenstealer, win.icexloader, win.warden_stealer, win.zeus, win.expiro, win.cloudhaze e win.hermes.
MalwareBazaar e ThreatFox sono servizi distinti di abuse.ch: il primo è dedicato alla raccolta e all’analisi di campioni malware, mentre il secondo raccoglie indicatori e segnalazioni di minacce. È quindi importante preservare l’attribuzione corretta della fonte per ogni evento, evitando di presentare tutti i nomi come campioni direttamente acquisiti da MalwareBazaar.
La presenza di un campione o di un’etichetta in questi servizi non dimostra da sola che il malware sia stato distribuito contro organizzazioni italiane nel periodo considerato. Per una verifica puntuale sono necessari gli hash dei campioni, gli identificativi dei record o i collegamenti alle segnalazioni originali.
Fonti: Abuse.ch MalwareBazaar, Abuse.ch ThreatFox. I singoli nomi e le relative date sono riportati in base al feed OpenCTI e devono essere verificati sui record originali.
Ransomware e gang attive
I dati aggregati relativi alla settimana dal 12 al 18 ottobre mostrano un’attività significativa sui leak site ransomware. Secondo il riepilogo settimanale di Scrutex, che conta le rivendicazioni pubblicate e non le compromissioni verificate, N0n ha registrato 55 voci, seguito da The Gentlemen con 37, qilin con 29, Wallstreet con 15 e Orova con 11.
Queste cifre dipendono dalla fonte e dai criteri di raccolta. Devono essere interpretate come volume di rivendicazioni nella finestra temporale e non come numero certo di attacchi riusciti o di aziende effettivamente compromesse.
I gruppi principali evidenziati nel periodo sono:
- N0n: elevato volume di rivendicazioni, con una pubblicazione in blocco nel settore marittimo, portuale e logistico il 12 ottobre.
- The Gentlemen: numerose rivendicazioni distribuite tra diversi Paesi e settori.
- qilin: attività in più settori, con una rivendicazione relativa a Mastelli S.r.l. il 18 ottobre.
- Wallstreet: numerose rivendicazioni in Svezia, in particolare nei servizi professionali e in altri settori.
- everest: rivendicazioni relative a organizzazioni sanitarie, industriali e infrastrutturali.
- spacebears: rivendicazione relativa ad Alma Center Servizi Medicali S.r.l. il 15 ottobre.
- THE SEVEN DEADLY SINS: sette organizzazioni elencate in una pubblicazione del 15 ottobre.
- Orova: attività riportata nel riepilogo aggregato settimanale.
Nella vista OpenCTI sono presenti anche record attribuiti ad altri gruppi, tra cui lockbit5, akira, aurora, Helix, emperador, iah6477, incransom, Redact, Vexy Ransomware, Panzer, play, BYOD, kairos, 0x00, bravox, interlock, metaencryptor, Deadlock, Dark Project, dragonforce, direwolf, HYFLOCK e sarcoma.
La presenza di questi nomi nella vista del feed indica che sono stati raccolti record associati ai rispettivi gruppi. In assenza di un elenco puntuale di vittime e date per ciascuno, non è possibile attribuire loro un volume specifico o una particolare campagna durante tutta la settimana.
Fonte per i conteggi settimanali: Scrutex, riepilogo delle rivendicazioni dal 12 al 18 ottobre 2026.
Vulnerabilità rilevanti per il contesto italiano
La vista OpenCTI utilizzata per il bollettino non ha registrato nuove vulnerabilità critiche tra il 12 e il 18 ottobre 2026. Il totale riportato dalla stessa vista rimane pari a 100 record. Si tratta di un dato interno, dipendente dai connettori, dai filtri, dalle fonti e dai criteri di classificazione configurati in OpenCTI, e non del numero complessivo di vulnerabilità pubblicate a livello globale.
L’assenza di nuovi record critici non equivale all’assenza di vulnerabilità rilevanti negli asset aziendali. È necessario continuare a verificare le esposizioni note, gli aggiornamenti disponibili e le configurazioni dei sistemi, dando priorità ai servizi esposti su Internet e agli asset che supportano processi critici.
Per il contesto italiano, le due segnalazioni relative ad Alma Center e Mastelli richiedono un monitoraggio prudente, considerata la sensibilità dei settori coinvolti. Le informazioni pubbliche non consentono però di confermare gli incidenti né di dedurre che siano stati sottratti dati personali o sanitari. In assenza di conferme, è opportuno mantenere una distinzione esplicita tra rivendicazioni, indicatori di compromissione e incidenti accertati.
Le attività consigliate comprendono il monitoraggio degli IOC pubblicati da CSIRT Italia, la correlazione con la telemetria SIEM ed EDR, la verifica dei sistemi esposti e il controllo delle procedure di backup e ripristino. I backup dovrebbero essere isolati dagli ambienti operativi e sottoposti a test periodici di recuperabilità.
Prospettiva
La settimana evidenzia un’attività ransomware diversificata, con N0n in primo piano per volume di rivendicazioni e per la pubblicazione concentrata di organizzazioni del settore marittimo e logistico. Le segnalazioni relative ad Alma Center Servizi Medicali S.r.l. e Mastelli S.r.l. richiedono attenzione per il contesto italiano, ma devono rimanere classificate come rivendicazioni non confermate fino alla disponibilità di ulteriori evidenze.
Le pubblicazioni relative a Wallstreet, everest e THE SEVEN DEADLY SINS mostrano la varietà dei settori citati nei leak site. Non è tuttavia possibile dedurre dalle sole rivendicazioni una campagna coordinata contro un settore specifico, né determinare l’impatto reale sulle organizzazioni elencate.
L’assenza di nuove vulnerabilità critiche nella vista OpenCTI non riduce automaticamente il rischio operativo e non dimostra che il ransomware sia il principale vettore di attacco della settimana. Per valutare i rischi è necessario correlare le informazioni sulle vulnerabilità, l’esposizione degli asset, le attività effettivamente osservate e l’intelligence sulle minacce.
La raccomandazione operativa è mantenere aggiornate le difese perimetrali e gli endpoint, correlare gli IOC con i log interni, verificare la presenza di accessi anomali e controllare la conformità delle procedure di backup. Per i bollettini successivi è inoltre opportuno conservare un riferimento diretto per ogni rivendicazione e indicare esplicitamente se un evento è confermato, rivendicato o ancora da verificare. Questa distinzione aumenta l’affidabilità del reporting e consente al SOC di assegnare le priorità sulla base delle evidenze disponibili.
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì