Oltre 240 organizzazioni colpite nel 2026 e un modello RaaS che attira affiliati esperti: segnali chiari che l’asticella della prevenzione va alzata subito.
Nel panorama del cybercrime sta emergendo un nome che merita attenzione: The Gentlemen, un gruppo ransomware in rapida crescita. Secondo analisi di settore, in pochi mesi ha colpito centinaia di organizzazioni e sta attirando affiliati con un modello Ransomware-as-a-Service (RaaS) particolarmente aggressivo. In pratica, chi “gestisce” il programma fornisce strumenti e infrastruttura, mentre gli affiliati eseguono gli attacchi e condividono i proventi. Il risultato? Maggiore capacità operativa, più campagne in parallelo e tempi di reazione sempre più ridotti per le aziende.
Ciò che rende The Gentlemen particolarmente pericoloso non è solo la “tecnologia” del ransomware, ma l’economia che lo sostiene. Offrire agli affiliati una quota molto alta dei riscatti incentiva l’ingresso di operatori esperti e accelera la diffusione degli attacchi. Per le aziende questo si traduce in un rischio concreto: più attaccanti motivati, più tentativi di intrusione e una probabilità più elevata che una vulnerabilità “trascurata” (VPN, firewall, accessi remoti) venga sfruttata prima che si intervenga.
Chi colpiscono e come entrano in rete
Le vittime dichiarate nel 2026 sono già numerose e, come spesso accade, il numero reale può essere più alto. Il pattern è ricorrente: vengono prese di mira organizzazioni con servizi esposti su Internet e con configurazioni non allineate alle best practice (VPN, firewall, gateway di accesso remoto, portali di gestione). Settori come manifatturiero e tecnologico risultano particolarmente impattati, perché la continuità operativa dipende da reti e sistemi OT/IT interconnessi: basta un singolo punto d’ingresso per fermare produzione, logistica e uffici.
Preoccupante anche l’interesse verso il settore sanitario, dove la combinazione di sistemi eterogenei, vincoli operativi e budget spesso limitati può creare “finestre” sfruttabili. Una volta ottenuto l’accesso iniziale, gli attaccanti puntano a muoversi rapidamente all’interno della rete, aumentare i privilegi e distribuire il ransomware su più sistemi per massimizzare l’impatto. Questo significa interruzioni, indisponibilità di dati e servizi, oltre a potenziali criticità legate alla riservatezza delle informazioni.
Come ridurre davvero il rischio (azioni concrete)
Gli attacchi ransomware “vincono” quasi sempre su due fronti: superfici esposte (accessi remoti) e controlli interni insufficienti (identità, segmentazione, monitoraggio). Per alzare il livello di difesa, è utile partire da poche priorità ad alto impatto:
· Hardening e patch management di VPN, firewall, gateway e portali di amministrazione: aggiornamenti, configurazioni sicure, rimozione di servizi non necessari.
· MFA ovunque possibile e controllo degli accessi privilegiati (principio del least privilege), con revisione periodica di account e permessi.
· Segmentazione di rete e protezioni laterali per limitare gli spostamenti interni dell’attaccante (IT/OT, server critici, backup).
· Backup resilienti (offline/immutabili) e test di ripristino: senza prove di restore, il backup è solo una speranza.
· Rilevamento e risposta: EDR/XDR, raccolta log e monitoraggio continuo per individuare rapidamente accessi anomali e attività di cifratura/esfiltrazione.
· Piano di incident response: ruoli, escalation, procedure e simulazioni periodiche per ridurre i tempi di decisione quando conta davvero.
Come possiamo aiutarti
Se vuoi capire rapidamente dove sei più esposto e quali interventi portano il miglior ritorno in termini di riduzione del rischio, possiamo supportarti con: assessment e vulnerability management, hardening di accessi remoti e infrastruttura, revisione di identità e privilegi, implementazione/ottimizzazione EDR e monitoraggio gestito, oltre a procedure e test di risposta agli incidenti. L’obiettivo è semplice: ridurre la probabilità di intrusione e, soprattutto, limitare l’impatto se l’attacco doveva comunque verificarsi.