Un altro RaaS, e l'Italia è già nella lista
Quante volte quest'anno abbiamo letto la stessa storia? Un gruppo ransomware spunta dal nulla, apre il suo sito delle vittime e nel giro di poche settimane ci sono già due aziende italiane nell'elenco. Stavolta si chiama Panzer. È comparso ad agosto 2026, con il data leak site online dal 5 del mese. Al 6 settembre le vittime rivendicate erano 19, in almeno 19 Paesi diversi.
Come funziona
Panzer è un RaaS, ransomware-as-a-service: chi sviluppa il malware non attacca in prima persona, lo affitta a una rete di affiliati che si occupano di entrare nelle reti bersaglio. Il gruppo trattiene una quota fissa su ogni riscatto pagato, in automatico: qui si parla di uno schema 80/20 a favore dell'affiliato. La selezione di chi può partecipare passa da un canale Tox, quindi c'è un filtro all'ingresso ma niente di troppo formale.
Lo schema d'attacco è la doppia estorsione, ormai lo standard: prima i dati vengono copiati e portati fuori, poi i sistemi vengono cifrati. Così la vittima ha due motivi per pagare, riavere i file e non vedere i dati pubblicati. Sul piano tecnico il gruppo dichiara payload per Windows, Linux, VMware ESXi e FreeBSD, oltre quindici comandi configurabili e funzioni anti-rilevamento. La parte che pesa di più è il modulo per ESXi: colpire l'hypervisor significa spegnere decine di macchine virtuali in un colpo solo.
Le due aziende italiane
La prima è Doimo Cucine, di Nervesa della Battaglia (Treviso), produttore di cucine di design: rivendicata il 17 agosto, con 30 GB di dati dichiarati come sottratti. La seconda è NTE Italia, società di servizi tecnici per le telecomunicazioni con sede a Catanzaro e uffici a Roma e Catania: comparsa sul sito il 21 agosto, 16 GB dichiarati. I numeri sull'esfiltrazione arrivano dagli attaccanti stessi, quindi vanno presi con cautela: servono a fare pressione.
Il contesto
Panzer non sceglie le vittime per Paese o per settore. Va dove gli affiliati riescono a procurarsi un accesso: una VPN esposta, credenziali comprate, un server non aggiornato. È distribuzione opportunistica. Il dato che conta è un altro: al 6 settembre le rivendicazioni contro organizzazioni italiane nel 2026 erano già 212, contro le 169 di tutto il 2025. La curva continua a salire.
💬 Il mio commento
Di gruppi così ne nasce uno quasi ogni mese, e il nome che si scelgono conta poco. Per chi lo subisce cambia sempre la stessa manciata di cose: da dove sono entrati, quanto tempo hanno avuto prima che qualcuno se ne accorgesse, e cosa era davvero pronto per rispondere. Di Panzer mi interessa il modulo per ESXi. Nelle aziende italiane, anche piccole, la virtualizzazione VMware è ovunque, spesso in mano a un fornitore esterno, e l'host è quasi sempre la parte meno monitorata di tutta l'infrastruttura. Chi arriva sull'hypervisor non deve più colpire una macchina alla volta: con un solo accesso raggiunge i dischi virtuali di tutte le VM insieme. Di solito il malware ferma le macchine per liberare i file dei dischi e li cifra direttamente sul datastore: ti ritrovi decine di server spenti tutti in una volta, e non ripartono.
Quando entro da un cliente non chiedo se hanno un backup, perché la risposta è sempre sì. Chiedo quando hanno provato a rimetterlo in piedi l'ultima volta e quanto ci hanno messo: lì di solito cala il silenzio. E se i backup vivono sullo stesso datastore ESXi che viene cifrato, un backup non ce l'hai: hai un secondo file cifrato. Una copia offline o immutabile, staccata dal dominio, con una prova di ripristino fatta a mano almeno una volta al mese, secondo me è la differenza tra due giorni di fermo e due settimane. Sull'ingresso vale il solito, meno noioso di quanto sembri: MFA su tutti gli accessi remoti, VPN e firewall aggiornati, gestione VMware non affacciata su Internet e separata dalle credenziali di dominio. Che tu non finisca mai in una di queste liste non può garantirlo nessuno; contenere il danno quando qualcosa va storto, quello sì. Se usi VMware ESXi e vuoi vedere quanto reggerebbe il tuo ambiente a un attacco come questo, posso aiutarti a metterlo alla prova e a chiudere i punti deboli prima che ci arrivi qualcun altro.