Immaginate la scena. Un'azienda scopre di lunedì mattina che i file sui server sono cifrati. Non ha ancora avvisato nessuno, non c'è un comunicato, il nome non compare su nessun sito di leak. Nella casella di posta del titolare arriva un'email: un'entità che si presenta come Ransom Busters dice di poter fornire la chiave di decifratura e di cancellare i dati rubati, in cambio di una cifra fra 20.000 e 60.000 dollari.

La domanda giusta non è quanto costa. È: come fa a saperlo?

Cosa hanno scoperto i ricercatori

Il gruppo di ricerca e intelligence di GuidePoint Security (GRIT) ha reso pubblica questa attività il 19 agosto 2026, dopo averla incontrata nel corso della risposta a diversi incidenti ransomware recenti. In tutti i casi la vittima aveva ricevuto un'email da Ransom Busters prima che l'attacco diventasse di dominio pubblico.

La versione fornita dal presunto soccorritore è che avrebbe sfruttato vulnerabilità nei pannelli di amministrazione di alcune operazioni ransomware-as-a-service, ottenendo così le chiavi di cifratura e i dati esfiltrati dalle vittime. I nomi citati sono DragonForce, Settra e Anubis.

Le prove raccolte da GRIT raccontano un'altra storia. In due incidenti distinti gli attaccanti avevano usato gli stessi strumenti — SoftPerfect Network Scanner, s5cmd e lo strumento di controllo remoto Remotely — e le stesse tecniche: la creazione di un account backdoor locale con la password Numlock!123 e l'uso dello stesso hostname sotto controllo dell'attaccante, DESKTOP-BBETH6K. Questa sovrapposizione, osservata su operazioni RaaS diverse fra loro, porta i ricercatori a valutare con confidenza moderata che Ransom Busters non sia un soggetto esterno che ha bucato i criminali, ma un singolo affiliato ransomware che usa il proprio accesso per intercettare i pagamenti destinati alle bande per cui lavora.

La società di negoziazione Coveware ha confermato di aver risposto ad almeno un incidente in cui la stessa entità aveva contattato una vittima. Coveware ricorda di aver incontrato "intermediari" analoghi, sotto altri nomi, già dal 2024, ma sottolinea la differenza sostanziale: gli sciacalli tradizionali contattano le vittime dopo la pubblicazione dell'attacco, quando l'informazione è già disponibile a chiunque. L'interferenza su un incidente non ancora pubblico è, come nota la stessa Coveware, molto più preoccupante.

Un dato utile per chi si trovasse in quella situazione: GRIT dichiara di non aver riscontrato vittime che abbiano pagato Ransom Busters, e sconsiglia esplicitamente di farlo. In un incidente la vittima ha invece pagato l'operazione RaaS; i ricercatori riferiscono che il nome e i dati non sono poi stati pubblicati sul sito di leak, e di non aver trovato evidenze di diffusione dei dati al di fuori dell'ambiente RaaS.

Cosa significa per le aziende italiane

Il primo punto è il più scomodo e il più utile: quell'email è essa stessa un indicatore di compromissione. Se qualcuno vi contatta su un incidente che non avete ancora reso pubblico, sa dell'attacco perché ne fa parte. Non è una coincidenza da verificare, è una conferma. E se è un affiliato che gioca in proprio, significa che i vostri dati sono nelle mani di almeno un soggetto in più rispetto a quelli con cui una eventuale negoziazione andrebbe condotta.

Questo distrugge il ragionamento economico che, nella pratica, spinge molte aziende a pagare. L'argomento a favore del pagamento — discutibile ma comprensibile — poggia sull'ipotesi che esista una controparte razionale, interessata alla propria reputazione di "affidabilità", che rispetterà l'accordo di non pubblicare. Se all'interno dell'ecosistema RaaS c'è chi si muove fuori dai patti anche verso i propri complici, quell'ipotesi cade. Coveware lo dice in modo esplicito: l'interferenza di una parte disonesta con accesso ai dati aumenta il rischio per la vittima, perché pagare l'operazione ransomware non garantisce più che tutti quelli che hanno i dati onorino l'accordo. Chi valuta un pagamento come misura di contenimento del rischio reputazionale deve sapere che sta comprando una garanzia che potrebbe non essere nella disponibilità di chi la vende.

Il secondo punto riguarda chi riceve queste email in Italia. Il bersaglio tipico del ransomware nel nostro Paese è la PMI manifatturiera o dei servizi, spesso senza un retainer di incident response attivo e senza un legale che abbia già gestito un caso simile. È esattamente il profilo su cui una proposta del genere, formulata in inglese professionale e con dettagli che solo un insider potrebbe conoscere, ha la massima probabilità di sembrare credibile. Nelle prime ventiquattro ore di un incidente, con la produzione ferma e nessuno a cui chiedere, l'offerta di una via d'uscita rapida a 30.000 dollari è una tentazione concreta.

Sul piano degli obblighi, conviene essere netti: pagare, chiunque sia il destinatario, non estingue nulla. Se sono stati esfiltrati dati personali resta l'obbligo di notifica al Garante entro 72 ore dalla conoscenza del fatto ai sensi dell'articolo 33 del GDPR, e resta la valutazione sulla comunicazione agli interessati prevista dall'articolo 34. Nessuna promessa di cancellazione da parte di un criminale può essere considerata una misura che rende improbabile il rischio per i diritti e le libertà delle persone: un dato che non si controlla più non è un dato cancellato. Per i soggetti che ricadono in NIS2 restano inoltre gli obblighi di segnalazione al CSIRT Italia, con la notifica preliminare entro 24 ore e quella completa entro 72. La segnalazione alla Polizia Postale, infine, è la strada che consente di far confluire gli indicatori in un quadro investigativo più ampio, e va fatta anche quando l'aspettativa di recupero è bassa.

Cosa fare subito

Se ricevete una comunicazione di questo tipo:

  • Non rispondete e non negoziate in autonomia. Ogni scambio fornisce alla controparte informazioni sulla vostra posizione e sulla vostra disperazione, che sono la sua leva principale.
  • Conservate l'email integrale con gli header completi. È materiale probatorio e, per chi indaga, una fonte di indicatori.
  • Trattate il messaggio come conferma dell'incidente e attivate la procedura di risposta: isolamento, preservazione dei log e delle immagini forensi prima di qualsiasi ripristino, coinvolgimento del DPO e del legale.
  • Coinvolgete un incident responder qualificato prima di prendere qualunque decisione sul pagamento. Verificate le credenziali di chiunque si offra spontaneamente: un fornitore serio non vi contatta per primo su un incidente che nessuno conosce.
  • Non date per scontato che l'attaccante sia uscito. Cercate account locali creati di recente, hostname anomali nei log di autenticazione, la presenza di strumenti RMM non autorizzati e di utility di scansione e di copia verso storage S3.
  • Fate partire i tempi degli adempimenti dal momento della conoscenza: 24 e 72 ore verso il CSIRT Italia se siete soggetti NIS2, 72 ore verso il Garante se sono coinvolti dati personali.

In prospettiva, il fenomeno merita attenzione per quello che rivela: la fiducia interna alle operazioni ransomware-as-a-service si sta incrinando, e gli affiliati cercano margini fuori dagli accordi di ripartizione con gli operatori. Per le vittime non è una buona notizia. Significa più soggetti con accesso ai dati, meno prevedibilità e, in definitiva, un'ulteriore ragione per costruire la propria capacità di ripartire senza dover trattare con nessuno.