Settori governativo, della difesa e dei trasporti presi di mira in quattro paesi
Un nuovo bollettino settimanale di threat intelligence del team di ricerca ASEC di AhnLab evidenzia come le attività di ransomware e fuga di dati nel dark web continuino a colpire un'ampia gamma di organizzazioni, questa volta in quattro paesi. Il riepilogo della Settimana 2 di settembre 2026 cataloga i post pubblicati sul dark web e le attività dei siti di leak riconducibili ad agenzie governative, entità legate alla difesa e operatori dei trasporti e dell'aviazione in Argentina, Canada, Germania e Corea del Sud.
I tag del rapporto fanno riferimento a organi del settore pubblico e organizzazioni di difesa nazionale insieme a società di trasporti e aviazione, una combinazione che riflette un modello più ampio che i ricercatori di sicurezza seguono da anni: gli attaccanti gravitano verso settori che detengono grandi volumi di dati personali sensibili, gestiscono infrastrutture critiche o affrontano la pressione di mantenere i servizi operativi senza interruzioni. Le agenzie governative e gli operatori dei trasporti corrispondono strettamente a questo profilo, poiché qualsiasi interruzione dei servizi pubblici o dei programmi di volo e spedizione crea una pressione immediata e visibile per risolvere rapidamente un incidente.
Tra i nomi degli attori malevoli citati nel bollettino figurano gruppi tracciati con etichette tra cui AuditTeam e Lapsus, entrambi presenti nel monitoraggio continuo di ASEC dei forum del dark web e del deep web dove i dati rubati vengono pubblicizzati, messi all'asta o divulgati apertamente. La presenza di più gruppi nominati in un'unica istantanea settimanale sottolinea che non si tratta dell'opera di un singolo attore isolato ma parte di un ecosistema persistente e distribuito di operazioni di ransomware ed estorsione dei dati.
Dentro l'economia del dark web del ransomware: come vengono venduti i dati rubati
Rapporti su ransomware e fughe di dati come questo esistono perché attorno ai dati rubati è cresciuta un'economia sotterranea funzionante. Una volta che gli attaccanti violano una rete ed esfiltrano i file, indipendentemente dal fatto che quei dati appartengano a un ministero governativo, a un appaltatore della difesa o al database clienti di una compagnia aerea, hanno tipicamente diversi modi per monetizzarli.
La via più diretta è una richiesta di riscatto: paga, oppure i file rubati vengono pubblicati. I gruppi sempre più spesso saltano del tutto la crittografia e si affidano unicamente alla minaccia di esposizione, poiché pubblicare dati personali o operativi sensibili può essere dannoso per la reputazione e la posizione legale di un'organizzazione vittima tanto quanto bloccare i suoi sistemi. Quando i negoziati falliscono o una vittima rifiuta di pagare, i dati finiscono spesso pubblicati su siti di leak dedicati ospitati nel dark web, dove possono essere scaricati, citati o venduti ad altri acquirenti criminali.
È qui che entrano in gioco anche le tattiche di pressione. Molti gruppi ora impongono scadenze brevi per spingere le vittime a pagare prima che abbiano avuto il tempo di valutare appieno la violazione o consultare un consulente legale. Se vuoi capire perché questi timer alla rovescia sono diventati così aggressivi, vale la pena leggere perché le gang di ransomware ora concedono alle vittime solo 7 giorni per rispondere, un cambiamento che ha rimodellato il modo in cui le organizzazioni, e i loro clienti, vivono le conseguenze di una violazione.
Segnali d'allarme che i tuoi dati potrebbero far parte di una fuga di dati
Se interagisci con servizi governativi, possiedi un passaporto o una carta d'identità nazionale, o hai volato con una compagnia aerea o utilizzato un servizio di trasporto in uno dei paesi colpiti, ci sono alcuni segnali a cui prestare attenzione. Email inaspettate di reimpostazione della password o avvisi di accesso che non hai attivato sono spesso il primo indicatore che le credenziali legate al tuo account sono emerse da qualche parte dove non dovrebbero essere. Un improvviso aumento di email di phishing o messaggi di testo che fanno riferimento a dettagli personali accurati, come il tuo nome completo, le date di viaggio o un numero di riferimento governativo, può anche suggerire che le tue informazioni facessero parte di un dataset divulgato piuttosto che di una campagna di phishing casuale.
Le organizzazioni che subiscono una violazione confermata in genere notificano gli individui interessati, ma tale notifica può arrivare ben dopo la fuga di dati effettiva, a volte con settimane di ritardo. Nel frattempo, i servizi di monitoraggio del dark web e gli strumenti di notifica delle violazioni possono segnalare se il tuo indirizzo email o i tuoi dati personali sono comparsi in dataset di leak noti.
Cosa significa per te
La maggior parte degli individui non può controllare se un'agenzia governativa, una compagnia aerea o un'autorità dei trasporti su cui fa affidamento subisca una violazione, ma ci sono passi pratici che riducono la tua esposizione una volta che si verifica una fuga di dati. Inizia usando password uniche per ogni account importante, specialmente i portali governativi e i servizi legati ai viaggi, così una singola credenziale divulgata non si propaga ad altri account. Abilita l'autenticazione a più fattori ovunque sia offerta, poiché rimane uno dei modi più semplici per ridurre il valore dei dati di accesso rubati.
Se vieni a sapere che un'organizzazione che utilizzi è stata nominata in un incidente di ransomware o fuga di dati, non aspettare una notifica formale prima di controllare i tuoi account e l'attività creditizia. Dato quanto rapidamente alcuni gruppi ora spingano verso la pubblicazione dei dati una volta trascorse le scadenze iniziali, agire presto conta più che mai.
I riepiloghi settimanali come quello di ASEC servono come utile promemoria che le fughe di dati ransomware nel dark web non sono eventi rari e isolati, sono una caratteristica continua di come opera la criminalità informatica attraverso settori e confini. Restare vigili sulle notifiche di violazione, monitorare i propri account e comprendere le tattiche di pressione usate dagli attaccanti può fare molto per limitare i danni quando i tuoi dati finiscono nel mirino.
