Un gruppo ransomware con una maschera
Tra le operazioni ransomware che i ricercatori di sicurezza stanno monitorando in vista del 2026, un gruppo si distingue per una scelta di marketing che lo differenzia dalle tipiche gang di estorsione. Rhysida si presenta come un "team di cybersecurity," sostenendo che i suoi attacchi aiutano le vittime a identificare le vulnerabilità nelle loro reti. I ricercatori che studiano il gruppo descrivono questa rappresentazione come una sottile giustificazione sovrapposta a un classico manuale di doppia estorsione: rubare dati, cifrare sistemi, poi chiedere un pagamento per prevenire sia la perdita permanente dei dati che l'esposizione pubblica.
Questa strategia di branding non è nuova nel più ampio mondo del cybercrime. Gli attori delle minacce attingono sempre più al linguaggio e all'immaginario di settori legittimi per far apparire le loro operazioni meno apertamente criminali, che si tratti di fingersi ricercatori di sicurezza, consulenti IT o, come visto in altre campagne recenti, di abusare dei nomi di marchi tecnologici affidabili per distribuire strumenti malevoli. In effetti, la tattica di sfruttare un branding riconoscibile per abbassare la guardia di un bersaglio è un pattern che emerge in molteplici tipi di minaccia quest'anno, incluso il modo in cui gli attaccanti stanno abusando del marchio ChatGPT per distribuire malware assemblato direttamente nel browser della vittima. Il filo conduttore è lo stesso: travestire un'operazione malevola con termini familiari e dall'aria affidabile, così che le vittime e persino alcuni osservatori esitino prima di trattarla come un atto criminale diretto.
Come funziona il modello di estorsione di Rhysida
Spogliata del linguaggio di marketing, l'operazione di Rhysida segue una struttura ransomware ben documentata. Il gruppo gestisce un sito di leak ospitato sulla rete Tor, che rende la sua infrastruttura più difficile da tracciare e abbattere rispetto a un sito web convenzionale. Quando Rhysida viola un'organizzazione, esfiltra dati sensibili prima di distribuire la cifratura, poi pubblica una richiesta di riscatto, spesso in formato PDF, sul suo sito di leak.
Alle vittime viene data una scelta, e non è una scelta equa. Pagare una richiesta di riscatto in Bitcoin, oppure vedere i file rubati, che possono includere registrazioni dei clienti, comunicazioni interne o dati aziendali proprietari, pubblicati pubblicamente. Questa è l'essenza della doppia estorsione: anche le organizzazioni con solidi backup e piani di disaster recovery affrontano comunque la pressione di pagare, perché la cifratura non è più l'unica leva che gli attaccanti detengono. La minaccia di un rilascio pubblico dei dati aggiunge rischio reputazionale, legale e normativo oltre alla disruption operativa.
Questo modello è diventato lo standard di settore tra i gruppi ransomware attivi proprio perché funziona. I sistemi di backup sono migliorati abbastanza che la sola cifratura spesso non riesce a forzare il pagamento, quindi l'esfiltrazione e la gogna pubblica sono diventate la seconda leva affidabile. Gruppi come Rhysida si limitano a perfezionare la presentazione attorno a una tattica che si è dimostrata efficace in tutto l'ecosistema ransomware.
Perché la rappresentazione da "team di cybersecurity" conta
Vale la pena soffermarsi sul perché un gruppo ransomware si prenderebbe la briga di posizionarsi come un servizio di sicurezza. Innanzitutto, potrebbe ridurre l'attrito interno: dipendenti o dirigenti all'interno di un'organizzazione violata potrebbero essere più inclini a interagire con un attaccante che sostiene di evidenziare difetti piuttosto che con uno apertamente ostile. Può anche complicare le narrazioni pubbliche durante e dopo un incidente, poiché giornalisti, vittime e persino alcuni ricercatori potrebbero inizialmente faticare a categorizzare le intenzioni del gruppo.
Ma i ricercatori hanno le idee chiare su cosa rappresenti effettivamente questa rappresentazione. Non c'è alcuna prova che l'interesse dichiarato di Rhysida nell'aiutare le organizzazioni a comprendere le loro vulnerabilità cambi l'esito per le vittime. Le richieste, la struttura di pagamento in Bitcoin e la minaccia di rilascio pubblico dei dati restano identiche alle tattiche usate dai gruppi ransomware che non fanno alcuna finzione. Il branding è una strategia di comunicazione, non un cambiamento di comportamento.
Cosa significa per te
Per la maggior parte delle persone, gruppi ransomware come Rhysida non sono una minaccia diretta quotidiana come potrebbe esserlo un'email di phishing o un'app compromessa. Questi gruppi prendono di mira principalmente le organizzazioni: aziende, fornitori di assistenza sanitaria, agenzie governative e altre entità con dati di valore e le risorse per potenzialmente pagare un riscatto. Ma gli effetti a valle raggiungono rapidamente le persone comuni. Se un'azienda con cui hai rapporti viene colpita, le tue informazioni personali, dai dettagli dell'account alle cartelle cliniche, potrebbero finire esposte su un sito di leak indipendentemente dal fatto che il gruppo si definisca una gang criminale o un sedicente team di sicurezza.
La lezione pratica è di prendere sul serio qualsiasi notifica di violazione che ricevi, anche se il linguaggio del gruppo responsabile suona insolitamente misurato o professionale. La rappresentazione non indica moderazione. È anche un promemoria che le aziende che valutano la propria postura di sicurezza non dovrebbero scambiare "divulgazioni di vulnerabilità" non richieste da parti sconosciute per ricerca legittima, in particolare quando arrivano accompagnate da richieste di pagamento.
Punti chiave
I gruppi ransomware monitorati in vista del 2026 continuano a fare affidamento su tattiche di doppia estorsione indipendentemente da come si presentano pubblicamente. Il posizionamento di Rhysida come team di cybersecurity è un esercizio di branding, non una prova di buone intenzioni, e la minaccia sottostante, siti di leak ospitati su Tor, dati rubati e richieste di riscatto in Bitcoin, resta standard per la categoria. Se ricevi una notifica di violazione legata a qualsiasi incidente ransomware, cambia le password interessate, monitora i tuoi account e il tuo credito per attività insolite, e sii scettico verso qualsiasi comunicazione da un attaccante che si presenta come utile. Le organizzazioni dovrebbero presumere che qualsiasi gruppo che affermi di offrire "guida alla sicurezza" attraverso un'intrusione non richiesta stia conducendo una standard operazione di estorsione, e dovrebbero rispondere attraverso i canali di incident response e delle forze dell'ordine piuttosto che con una negoziazione diretta basata sulla rappresentazione dell'attaccante.
