Un'operazione ransomware precedentemente sconosciuta, che si fa chiamare ExfilSquad, ha fatto un ingresso insolitamente aggressivo sulla scena dell'estorsione, pubblicando 14 rivendicazioni di violazione separate in un solo giorno. Tra i nomi comparsi sul sito di leak del gruppo figurano Microsoft e Zenith Bank, due organizzazioni la cui dimensione e notorietà garantiscono attenzione, a prescindere dal fatto che le rivendicazioni reggano a un esame approfondito.

Proprio quest'ultimo punto è importante. I siti di leak dei ransomware sono, per loro stessa natura, strumenti di marketing per i gruppi criminali. Una lunga lista di vittime pubblicata il primo giorno serve a segnalare capacità operative e ad attirare la copertura mediatica, ma non conferma automaticamente che una violazione sia avvenuta, che i dati siano stati effettivamente esfiltrati o che il gruppo disponga dell'accesso che rivendica. Capire come leggere queste rivendicazioni è importante tanto quanto reagire a esse.

Un nuovo gruppo emerge: cosa rivendica ExfilSquad

Il debutto di ExfilSquad si distingue principalmente per il volume. Quattordici rivendicazioni di violazione pubblicate in una volta sola rappresentano un lotto consistente per un gruppo nuovo di zecca, e colloca ExfilSquad nella stessa conversazione delle operazioni ransomware-as-a-service più affermate, che hanno impiegato mesi o anni a costruire infrastrutture e reti di affiliati. I nuovi gruppi a volte raggruppano intrusioni più vecchie e mai pubblicate insieme a quelle fresche per far sembrare il proprio sito di leak più attivo di quanto non sia, e altre volte riciclano dati provenienti da violazioni già divulgate altrove, sotto un nuovo marchio.

La presenza di un'azienda come Microsoft nell'elenco probabilmente attirerà un'attenzione sproporzionata semplicemente per via della riconoscibilità del nome, ma le grandi imprese sono anche bersagli frequenti sia di intrusioni reali sia di false rivendicazioni, proprio perché il valore del loro marchio rende qualsiasi accusa degna di notizia. L'inclusione di Zenith Bank segue uno schema simile, osservato in tutto l'ecosistema ransomware, dove gli istituti finanziari sono bersagli ambiti per via della sensibilità dei dati dei clienti e della pressione volta a evitare conseguenze normative e reputazionali.

In questa fase, le rivendicazioni vanno considerate come non verificate. Questo non significa che vadano ignorate, ma che lettori e organizzazioni coinvolte dovrebbero attendere una conferma, che provenga dalle aziende stesse, da ricercatori di sicurezza indipendenti o da prove forensi, come campioni di dati pubblicati sul sito di leak.

Perché i controlli di credibilità sono importanti per le rivendicazioni di leak ransomware

Il modello di estorsione ransomware si basa sulla pressione, e la pressione funziona meglio quando è pubblica. I gruppi pubblicano i nomi delle vittime, a volte con conti alla rovescia o file campione, per spingere le organizzazioni a pagare prima di una scadenza. Questa dinamica è diventata più comune con l'aumentare del volume complessivo dell'attività ransomware; i recenti dati sulle tendenze del ransomware in vista del 2026 mostrano un raddoppio del numero di vittime anno su anno, insieme a un aumento delle tattiche estorsive che a volte non comportano affatto la cifratura dei file.

Un'analisi di credibilità prende in esame generalmente diversi fattori: se il gruppo ha pubblicato dati campione verificabili, se la vittima dichiarata ha riconosciuto un incidente, se il gruppo ha un track record di rivendicazioni accurate e se i dettagli tecnici sono coerenti con i metodi di intrusione noti. I gruppi nuovi, privi di track record, meritano un'attenzione supplementare, poiché in questo ambito rivendicazioni esagerate o completamente inventate non sono inaudite, specialmente quando un gruppo cerca di costruirsi rapidamente una reputazione.

Vale anche la pena ricordare che, anche quando una rivendicazione di violazione è accurata, la quantità e la sensibilità dei dati rubati possono variare enormemente. La ricerca ha dimostrato più volte che la capacità di rilevamento è molto indietro rispetto al furto di dati; uno studio recente ha rilevato che quasi la metà delle vittime di ransomware perde dati prima ancora di essersi accorta dell'attacco, il che significa che il divario tra un'intrusione e la divulgazione pubblica può estendersi per settimane o mesi.

Cosa significa per te

Se sei un cliente, un dipendente o un partner di una delle organizzazioni citate, il passo più utile in questo momento è la pazienza, accompagnata da precauzioni di base. Tieni d'occhio le comunicazioni ufficiali di Microsoft o Zenith Bank, poiché le grandi organizzazioni dotate di team di sicurezza dedicati di solito forniscono indicazioni se un incidente reale viene confermato. Nel frattempo, è ragionevole rivedere la sicurezza del proprio account, in particolare il riutilizzo delle password e l'autenticazione a più fattori, poiché qualsiasi violazione che coinvolga credenziali può avere effetti a catena ben oltre il bersaglio originale.

Per le aziende, più in generale, il rapido lancio di ExfilSquad ricorda che il panorama del ransomware continua a espandersi in modi che rendono più difficile distinguere il segnale dal rumore. Nuovi gruppi emergono, si rinominano o si scorporano da operazioni esistenti in continuazione, e alcune ricerche suggeriscono che gli strumenti di IA stanno aiutando gli attaccanti a muoversi più velocemente e in modo più convincente rispetto al passato. Le organizzazioni dovrebbero considerare ogni rivendicazione su un sito di leak come meritevole di indagine, senza crederci automaticamente, pur prendendo il rischio sottostante abbastanza sul serio da verificare la propria esposizione.

Le aziende che subiscono un incidente confermato dovrebbero anche essere consapevoli che il modo in cui rispondono ha un peso legale. Pagare una richiesta di estorsione può comportare rischi normativi a seconda del gruppo a cui è affiliata, e le imprese che valutano il pagamento di un riscatto devono comprendere l'esposizione alle sanzioni coinvolta prima di prendere quella decisione.

Punti operativi

Per i singoli: monitorare le comunicazioni ufficiali delle organizzazioni citate, attivare l'autenticazione a più fattori dove disponibile ed evitare di riutilizzare le password tra diversi servizi.

Per le aziende: verificare le rivendicazioni di violazione attraverso il proprio team di sicurezza o fonti di threat intelligence affidabili prima di reagire pubblicamente, mantenere aggiornati i piani di risposta agli incidenti e assicurarsi che i sistemi di backup e rilevamento siano testati regolarmente, in modo da intercettare le intrusioni prima che si verifichi un'esfiltrazione di dati su larga scala.

L'arrivo di ExfilSquad aggiunge un altro nome a un campo già affollato di gruppi ransomware, e le sue 14 vittime dichiarate meritano analisi approfondita piuttosto che allarme immediato. L'approccio più sicuro per chiunque sia collegato alle organizzazioni citate è rimanere informati attraverso canali verificati, rafforzare l'igiene di sicurezza personale e aziendale e considerare le rivendicazioni non verificate sui siti di leak come un invito alla prudenza, non come una conferma.