Panzer, il nuovo ransomware che sta colpendo le aziende italiane
Ad agosto 2026 è comparso sulla scena un nuovo gruppo criminale, Panzer, e nel giro di poche settimane ha già rivendicato vittime italiane, tra cui il marchio di arredamento Doimo Cucine. Non si tratta dell’ennesimo ransomware improvvisato: chi lo gestisce ha debuttato con un’infrastruttura completa, un programma di affiliazione già rodato e payload capaci di cifrare Windows, Linux, ESXi e FreeBSD. Per una PMI italiana questo significa una cosa sola: il perimetro da difendere non è più solo il PC in ufficio, ma anche il server virtuale su cui gira il gestionale.
La notizia merita attenzione proprio perché racconta come è cambiato il mercato criminale. Un attacco ransomware oggi non nasce nella cameretta di un adolescente, ma dentro una filiera organizzata che vende strumenti, assistenza e infrastruttura a chiunque sia disposto a dividere il riscatto.
Un gruppo nato già maturo
Il dettaglio che ha colpito gli analisti è la velocità. Di norma un nuovo gruppo ransomware impiega mesi per costruire un sito di leak funzionante, reclutare affiliati e mettere a punto varianti del malware per sistemi operativi diversi. Panzer si è presentato con tutto questo già pronto.
L’ipotesi più credibile è che dietro ci siano operatori esperti, reduci da altre sigle smantellate dalle forze dell’ordine o chiuse volontariamente dopo un exit scam. È un fenomeno ricorrente: le operazioni internazionali contro LockBit e ALPHV/BlackCat non hanno eliminato le persone, hanno solo costretto quelle persone a cambiare insegna.
La presenza di payload per ESXi è il segnale più concreto del livello tecnico. Cifrare l’hypervisor significa spegnere decine di macchine virtuali con un solo comando, colpendo in un colpo solo gestionale, file server, posta interna e magari anche il server di backup, se questo vive nello stesso cluster.
Ransomware as a service: perché il crimine è diventato un servizio in abbonamento
Il modello ransomware as a service funziona come un franchising. Chi sviluppa il malware non attacca direttamente: costruisce il software, il pannello di controllo, il sito dove pubblicare i dati rubati e il canale di negoziazione, poi affitta tutto a una rete di affiliati.
Gli affiliati si occupano dell’intrusione vera e propria e trattengono in genere una quota tra il 70 e l’80 per cento del riscatto incassato. Chi fornisce la piattaforma prende il resto, senza mai toccare la rete della vittima.
Questa divisione del lavoro ha due conseguenze pratiche per chi deve difendersi. La prima è che non serve più essere un esperto per lanciare un attacco ransomware: bastano credenziali comprate su un forum e la voglia di provarci. La seconda è che gli attaccanti non scelgono i bersagli in base al valore strategico, ma in base alla facilità di ingresso.
La doppia estorsione cambia le regole del gioco
Fino a qualche anno fa la logica era semplice: i file venivano cifrati e chi aveva un backup funzionante ripristinava e ripartiva. La doppia estorsione ransomware ha rotto questo equilibrio.
Prima di cifrare, gli attaccanti esfiltrano i dati: contratti, listini, progetti, anagrafiche clienti, buste paga, corrispondenza con i fornitori. Poi arrivano due richieste distinte, una per la chiave di decifratura e una per non pubblicare il materiale sul sito di leak. Anche l’azienda con backup perfetti resta esposta sul secondo fronte.
Qui il problema smette di essere tecnico e diventa legale e reputazionale. Se tra i dati sottratti ci sono informazioni personali di dipendenti, clienti o pazienti, scatta l’obbligo di notifica al Garante privacy entro 72 ore e, nei casi più gravi, la comunicazione agli interessati. Le sanzioni GDPR possono arrivare al 4 per cento del fatturato annuo globale, e nel frattempo il nome dell’azienda compare pubblicamente su un sito accessibile a chiunque, concorrenti inclusi.
Perché le PMI italiane sono il bersaglio preferito
L’Italia è da anni sovraesposta. Il Rapporto Clusit degli ultimi anni ha registrato una quota di incidenti a danno di organizzazioni italiane costantemente superiore al peso economico del Paese sullo scenario globale, con il ransomware come categoria dominante tra gli attacchi con malware.
Le ragioni sono strutturali. Il tessuto produttivo italiano è fatto di aziende manifatturiere solide, spesso leader di nicchia, con fatturati interessanti e strutture IT sottodimensionate. Molte hanno un unico sistemista interno o si appoggiano a un fornitore esterno chiamato solo quando qualcosa si rompe.
A questo si aggiunge la digitalizzazione della fabbrica. Macchine a controllo numerico, sistemi MES e linee di produzione connesse hanno aumentato l’efficienza e allargato la superficie di attacco. Un attacco ransomware ad aziende italiane del manifatturiero non blocca solo la contabilità, ferma le consegne.
I numeri sul fermo macchina sono la parte che gli imprenditori sottovalutano di più. Le rilevazioni di settore indicano tempi medi di ripristino nell’ordine di due o tre settimane, e in una parte significativa dei casi i dati non tornano mai integralmente, nemmeno dopo aver pagato. Il costo del riscatto, quando c’è, è quasi sempre la voce minore rispetto a fermo produttivo, straordinari, penali contrattuali e clienti persi.
Come entrano, nella pratica
I vettori d’ingresso restano sempre gli stessi tre, e nessuno è particolarmente sofisticato.
Il primo sono le credenziali valide, rubate tramite phishing o comprate già pronte, usate per accedere a VPN e servizi remoti senza autenticazione a più fattori. Il secondo sono le vulnerabilità note su dispositivi esposti in rete: firewall, gateway VPN, server di posta rimasti senza patch per mesi. Il terzo è la posta elettronica, con allegati e link che aprono la porta a un primo impianto.
Nella maggior parte dei casi passano giorni, a volte settimane, tra l’accesso iniziale e la cifratura. È una finestra di tempo in cui l’attaccante si muove nella rete, cerca il server di backup e ruba i dati. È anche l’unica finestra in cui un’azienda può accorgersi di qualcosa e fermare tutto, ammesso che ci sia qualcuno a guardare.
Cosa può fare concretamente una PMI
La difesa efficace non richiede budget da multinazionale, richiede priorità corrette e continuità nel tempo.
Il punto di partenza è l’autenticazione a più fattori su ogni accesso remoto, senza eccezioni per l’amministratore delegato o per il consulente esterno. È la singola misura che blocca la quota maggiore di intrusioni iniziali con il minor investimento.
Subito dopo viene il backup, ma un backup di cui conosciate davvero lo stato. La regola 3-2-1 (tre copie, due supporti diversi, una off site) va integrata con almeno una copia immutabile o scollegata dalla rete, perché gli attaccanti cercano il backup prima di cifrare qualsiasi altra cosa. Un backup che non è mai stato testato in un ripristino reale è un’ipotesi, non una garanzia: i nostri servizi di backup e disaster recovery nascono esattamente per chiudere questa distanza.
Serve poi visibilità continua sugli endpoint e sui server. Un antivirus tradizionale riconosce file già noti, mentre le tecniche usate oggi sfruttano strumenti legittimi di sistema. Una protezione EDR con monitoraggio attivo, come quella che implementiamo con le soluzioni Sophos, serve a intercettare il movimento laterale prima che diventi cifratura.
Infine il piano. Sapere in anticipo chi chiamare, come si comunica con clienti e dipendenti, entro quanto va notificato il Garante e quali sistemi vanno ripristinati per primi trasforma una crisi in una procedura. È il cuore della business continuity, e si costruisce quando tutto funziona, non la notte dell’attacco.
Panzer non sarà l’ultimo nome della lista. Cambieranno la sigla e il logo sul sito dei leak, resteranno le stesse porte aperte. Rivedere oggi la propria postura di cybersecurity costa una frazione di quello che costerebbe scoprirla inadeguata a lavorazioni ferme e clienti al telefono.