Nel giro di un anno è passato da gruppo emergente a una delle minacce ransomware più temute a livello globale. Secondo l'ultima analisi pubblicata da Check Point Research, The Gentlemen è ormai il secondo gruppo ransomware più attivo al mondo, superato soltanto da Qilin, con un volume di attacchi che ha continuato a crescere mese dopo mese durante la prima metà del 2026.

Una crescita fuori scala

I numeri raccontano una traiettoria impressionante: il gruppo, comparso per la prima volta a metà 2025, ha rivendicato circa 332 vittime pubbliche nei soli primi cinque mesi del 2026, contro le appena 35 del quarto trimestre 2025 — un salto che lo ha portato dal sedicesimo al secondo posto nella classifica dei gruppi più prolifici. Ma secondo i ricercatori, anche questo dato sottostima la realtà: l'analisi di un server di comando e controllo riconducibile a uno degli affiliati ha rivelato una rete che avrebbe colpito oltre 1.570 organizzazioni, ben più del numero rivendicato pubblicamente sul data leak site del gruppo.

Chi c'è dietro e come opera

Gli analisti collegano l'operatore centrale del gruppo — identificato con lo pseudonimo zeta88/hastalamuerte — all'ecosistema di Qilin, lo stesso collettivo già responsabile di attacchi recenti come quello contro la spagnola Ahorramas nel maggio 2026. The Gentlemen funziona secondo il modello Ransomware-as-a-Service (RaaS), ma con una particolarità che ne spiega in parte la rapida espansione: agli affiliati viene riconosciuto il 90% di ogni riscatto pagato, una percentuale ben superiore alla media del settore (tipicamente intorno all'80%), un incentivo che ha attratto rapidamente nuovi collaboratori nel sottobosco criminale.

Sul piano tecnico, il gruppo si distingue per la disponibilità di locker dedicati per ambienti Windows, Linux, NAS, BSD ed ESXi, una copertura completa che gli consente di cifrare in un solo attacco l'intera infrastruttura di un'organizzazione — dai server fisici alle macchine virtuali fino ai sistemi di storage di rete. A questo si aggiungono, secondo altre analisi, l'uso di exploit per dispositivi Fortinet, strumenti basati su intelligenza artificiale per automatizzare fasi della campagna e framework di comando e controllo personalizzati.

Una minaccia recente, già infiltrata

In un episodio che ha del paradossale, alcune chat interne del gruppo sono state recentemente trafugate e pubblicate online, offrendo ai ricercatori una finestra rara sulle modalità operative, le tariffe applicate e i criteri di selezione degli obiettivi di uno dei gruppi ransomware oggi più pericolosi.

Le implicazioni per le aziende

L'ascesa di The Gentlemen conferma una dinamica ormai consolidata nel panorama ransomware: i gruppi più aggressivi non sono necessariamente i più "storici", ma quelli capaci di offrire condizioni economiche vantaggiose agli affiliati e strumenti tecnici versatili. Per le organizzazioni — comprese quelle italiane, già nel mirino di altri gruppi simili come Qilin — la lezione resta la stessa: backup testati e isolati dalla rete principale, segmentazione delle infrastrutture critiche (inclusi gli ambienti virtualizzati ESXi, oggi tra i bersagli preferiti), patching tempestivo dei dispositivi perimetrali come i firewall Fortinet, e piani di risposta agli incidenti aggiornati e periodicamente testati.