Il ransomware entra dall’apparato che doveva proteggervi: due allarmi ACN, la stessa catena d’attacco

Il 13 aprile e il 28 maggio 2026 il CSIRT Italia ha pubblicato due bollettini su due gruppi ransomware diversi: Akira e Qilin. Cambiano i nomi, cambiano i malware, in parte cambiano le vittime. Ma se si mettono i due documenti uno accanto all’altro, la sequenza dell’attacco è la stessa, passo per passo. Si entra da un apparato perimetrale non aggiornato o da una VPN priva di secondo fattore, si arriva all’hypervisor, si mettono fuori uso i backup, poi si cifra.

Letti insieme, i due avvisi dicono qualcosa che nessuno dei due dice da solo: in Italia il ransomware che fa davvero danni non arriva più da un allegato di posta. Arriva dagli apparati che l’azienda ha comprato per difendersi.

Tre passi, sempre gli stessi

Primo passo: il bordo della rete. Su Akira il CSIRT contava 13 incidenti confermati dall’inizio del 2026, in prevalenza presso piccole e medie imprese, con sfruttamento di vulnerabilità n-day su dispositivi perimetrali — una preferenza documentata per i firewall SonicWall — e compromissione sistematica dei servizi SSL VPN esposti. Qilin, che ha colpito PMI e anche fornitori di servizi cloud, entra da appliance Ivanti EPMM e da sistemi Fortinet. In entrambi i casi il vettore alternativo è identico: credenziali VPN ottenute per forza bruta oppure acquistate da un Initial Access Broker.

Secondo passo: la virtualizzazione. Ottenuto l’accesso, entrambi i gruppi puntano dritti a VMware ESXi. Qilin impiega un ransomware scritto in Rust progettato per cifrare i datastore vSphere; nell’avviso su Akira compare tra le falle sfruttate anche un bypass di autenticazione su ESXi (CVE-2024-37085). La logica è di pura efficienza: cifrare a livello di hypervisor porta giù decine di macchine virtuali in un colpo solo, senza toccare un singolo sistema operativo guest.

Terzo passo: il backup. È il dettaglio che dovrebbe far alzare la testa a chiunque gestisca un data center. Entrambi i bollettini citano vulnerabilità su Veeam Backup & Replication — CVE-2023-27532 nel caso di Qilin, CVE-2024-40711 nel caso di Akira — sfruttate non per rubare dati, ma per estrarre credenziali e disattivare le copie prima della cifratura. L’ultima cosa che l’attaccante fa, prima di chiedere il riscatto, è togliervi la possibilità di dire di no.

Le vulnerabilità sfruttate hanno due o tre anni e la patch esiste da tempo. Non è un problema di attaccanti sofisticati: è un problema di apparati che nessuno aggiorna perché «sono in produzione».

L’apparato di sicurezza è l’asset meno aggiornato che avete

Vale la pena guardare le date delle CVE citate: 2023 per Veeam, 2024 per Fortinet e SonicWall. Sono falle note, corrette, documentate. Nel 2026 continuano a funzionare perché il firewall, il concentratore VPN e l’appliance di gestione dei dispositivi vivono in una zona grigia del processo di manutenzione:

• sono percepiti come infrastruttura, non come sistemi da patchare con la stessa disciplina dei server;
• aggiornarli richiede una finestra di fermo che tocca tutti, quindi si rimanda;
• spesso non compaiono nell’inventario che l’IT usa per il ciclo di patching, perché quell’inventario nasce dal dominio o dall’hypervisor, e l’appliance non sta né nell’uno né nell’altro.

Il risultato è un paradosso: la superficie più esposta a internet è anche quella che si aggiorna con meno frequenza. E non è un fenomeno in esaurimento — il bollettino settimanale ACN del 9 agosto 2026 segnalava ancora sfruttamento attivo in the wild su prodotti di rete e di gestione remota. Un vulnerability assessment che si ferma ai server interni, senza censire ciò che l’azienda espone davvero — portali VPN, interfacce di amministrazione, servizi pubblicati — sta misurando la parte sbagliata del rischio.

Una VPN senza MFA non è un perimetro: è una password

Il secondo vettore è ancora più banale del primo. Se manca il secondo fattore, l’accesso remoto vale esattamente quanto la password che lo protegge — e quella password, oggi, si compra. Il problema si aggrava per come sono costruite molte reti: la VPN atterra in un segmento che raggiunge anche le interfacce di gestione degli host ESXi e il server di backup. Quando succede, i tre passi della catena non sono tre fasi di una campagna: sono pochi minuti.

Le raccomandazioni con cui il CSIRT chiude i due avvisi si sovrappongono quasi parola per parola: patch prioritaria su dispositivi perimetrali e infrastruttura di virtualizzazione, autenticazione a più fattori su tutti gli accessi remoti, backup immutabili e offline con credenziali dedicate, log centralizzati in modalità append-only. Nessuna di queste misure richiede una tecnologia nuova. Tutte richiedono un processo — ed è esattamente ciò che le misure di base NIS2 chiedono di poter dimostrare.

Il nostro punto di vista

Quando entriamo in un’infrastruttura per un assessment, la prima domanda non è quale firewall c’è, ma da quanto tempo non viene aggiornato e chi se ne accorgerebbe. È lì che si apre la distanza tra un perimetro e un’illusione di perimetro. Il nostro lavoro di vulnerability assessment e remediation parte dall’esterno, da ciò che l’azienda espone davvero, e arriva al piano di gestione — perché è quello il percorso che l’attaccante ha già mappato.

Sul fronte del rilevamento, una compromissione che passa da credenziali VPN legittime non genera alert di malware: genera anomalie. Un accesso a un’ora insolita, una sessione che tocca l’interfaccia di gestione di un host, un job di backup che smette di completarsi. Sono segnali che diventano allarmi solo se qualcuno li guarda con continuità: è la funzione del SOC · Smart Care. E poiché la catena termina sempre sulle copie di sicurezza, l’immutabilità e la separazione delle credenziali non sono un dettaglio dello storage ma il presupposto del disaster recovery: un ripristino provato, con obiettivi misurati, è ciò che trasforma un incidente in un fermo di ore anziché di settimane.

Due gruppi diversi, due bollettini a sei settimane di distanza, la stessa catena. Quando la modalità d’ingresso è così stabile e così documentata, non è più una minaccia emergente: è una lista di controllo.