Il CSIRT Italia, la struttura dell'Agenzia per la Cybersicurezza Nazionale (ACN) che gestisce gli incidenti informatici, ha diffuso un nuovo allarme sull'aumento degli attacchi ransomware riconducibili al gruppo Qilin contro le piccole e medie imprese del territorio nazionale. Dall'inizio del 2026 queste operazioni si sono moltiplicate e, tra le organizzazioni colpite, figurano anche fornitori di servizi cloud, con un potenziale effetto a catena su molti clienti.

Chi è Qilin

Qilin è uno dei gruppi ransomware più attivi del momento, operante con il modello Ransomware-as-a-Service: gli sviluppatori mettono a disposizione l'infrastruttura e il malware, mentre affiliati esterni conducono materialmente gli attacchi in cambio di una quota del riscatto. Come la maggior parte delle operazioni moderne, Qilin pratica la doppia estorsione: prima esfiltra i dati, poi cifra i sistemi, minacciando di pubblicare le informazioni rubate se la vittima non paga.

Come avviene l'accesso iniziale

Secondo l'analisi dell'ACN, l'ingresso nelle infrastrutture compromesse avviene principalmente attraverso due vie. La prima è lo sfruttamento sistematico di vulnerabilità note su apparati perimetrali esposti su internet, in particolare sistemi di mobile device management Ivanti e dispositivi Fortinet. Tra le falle utilizzate è stata identificata la CVE-2026-1281, che riguarda Ivanti Endpoint Manager Mobile e consente a un attaccante remoto non autenticato di eseguire codice arbitrario con privilegi di sistema, ottenendo il controllo completo dell'asset.

La seconda via è la compromissione delle credenziali di accesso VPN, ottenute tramite attacchi di forza bruta oppure acquistate dagli Initial Access Broker, criminali specializzati nel rivendere accessi già pronti ad altri gruppi.

Una volta dentro, gli attaccanti impiegano un ransomware personalizzato sviluppato in linguaggio Rust, progettato specificamente per colpire le infrastrutture di virtualizzazione VMware ESXi, combinandolo con strumenti legittimi, malware di largo consumo e componenti open source per muoversi nella rete senza destare sospetti.

Come proteggersi

L'indicazione principale dell'ACN è chiara: i dispositivi di perimetro — firewall, VPN, sistemi MDM — rappresentano la prima linea di difesa e vanno aggiornati in modo continuo e tempestivo, perché sono proprio il bersaglio iniziale. Oltre alle patch, alcune misure riducono in modo significativo il rischio:

  • Attivare l'autenticazione a più fattori su tutti gli accessi remoti e VPN, così che una credenziale rubata non basti da sola a entrare.
  • Mantenere backup offline e testati regolarmente, scollegati dalla rete, perché sono l'unica vera assicurazione contro la cifratura dei dati.
  • Segmentare la rete per limitare i movimenti laterali e proteggere in particolare gli host di virtualizzazione ESXi.
  • Monitorare gli accessi anomali e disabilitare gli account inutilizzati.

Per le PMI, spesso prive di un team di sicurezza dedicato, il messaggio dell'ACN è che non si è troppo piccoli per essere un bersaglio: anzi, proprio le realtà meno protette sono oggi le prede preferite di gruppi come Qilin. Investire in aggiornamenti, formazione del personale e backup non è più un costo rinviabile.