Un nuovo gruppo ransomware si è imposto come una delle minacce più aggressive del 2026. Si chiama The Gentlemen e, secondo le analisi pubblicate da Check Point, ha rivendicato oltre 320 vittime dalla sua comparsa a metà 2025, di cui più di 240 nel solo 2026. Numeri che ne fanno il secondo gruppo più attivo dell'anno per numero di organizzazioni colpite, con un ritmo di crescita tra i più rapidi mai registrati.
Il modello ransomware-as-a-service
The Gentlemen opera secondo il modello ransomware-as-a-service (RaaS): gli sviluppatori forniscono l'infrastruttura e il malware, mentre una rete di affiliati conduce gli attacchi veri e propri in cambio di una quota dei riscatti. È un modello che permette di scalare rapidamente, perché moltiplica il numero di operatori senza richiedere che ciascuno disponga di competenze tecniche avanzate. Il settore manifatturiero e quello tecnologico rappresentano la quota maggiore delle vittime, in linea con il quadro generale del panorama ransomware.
La porta d'ingresso: dispositivi perimetrali esposti
L'elemento che caratterizza il gruppo è la scelta del punto d'ingresso. The Gentlemen prende deliberatamente di mira i dispositivi esposti su Internet — VPN, firewall, gateway di accesso remoto e portali di gestione perimetrale — cercando organizzazioni con infrastruttura vulnerabile e raggiungibile dall'esterno. Una volta dentro, il gruppo si muove con grande velocità: è in grado di cifrare intere reti nel giro di poche ore, lasciando alle vittime un margine di reazione minimo.
L'asset più distintivo del gruppo è una riserva di circa 14.700 dispositivi FortiGate già pre-violati, compromessi principalmente sfruttando CVE-2024-55591, una grave falla di bypass dell'autenticazione in FortiOS e FortiProxy. A questo si aggiungono 969 credenziali VPN FortiGate validate tramite attacchi a forza bruta e pronte all'uso. In altre parole, il gruppo dispone di un magazzino di accessi già pronti, da attivare a comando per colpire le organizzazioni bersaglio.
Quando gli hacker vengono hackerati
La ricostruzione di Check Point è stata resa possibile da un evento insolito: a maggio 2026 la stessa infrastruttura di backend del gruppo è stata compromessa e i dati sono trapelati. La fuga di informazioni ha esposto chat interne, le operazioni degli affiliati, le trattative sui riscatti, i metodi di attacco e la struttura organizzativa del gruppo, offrendo ai ricercatori una rara finestra sul funzionamento interno di un'operazione ransomware su larga scala.
Come difendersi
La lezione principale è che il perimetro di rete resta il fronte più esposto. Le organizzazioni dovrebbero censire e tenere costantemente aggiornati tutti i dispositivi raggiungibili da Internet, applicando con priorità le patch per falle note come CVE-2024-55591. È essenziale abilitare l'autenticazione a più fattori su VPN e accessi remoti, sostituire le credenziali potenzialmente compromesse, monitorare i tentativi di accesso anomali e segmentare la rete in modo da rallentare la propagazione di un eventuale attacco. Considerata la rapidità con cui The Gentlemen passa dall'accesso iniziale alla cifratura, la capacità di rilevare e contenere un'intrusione nelle prime ore diventa decisiva.
