Un gruppo ransomware emerso solo di recente nel panorama delle minacce ha già rivendicato la sua prima vittima resa pubblica nel settore tecnologico. I ricercatori di threat intelligence hanno identificato il gruppo, che si autodefinisce Sovcali, dopo che ha aggiunto un'azienda tecnologica al suo portale di leak nel dark web nell'ambito di una campagna di doppia estorsione. L'incidente è un promemoria del fatto che nuove operazioni ransomware continuano ad apparire a un ritmo costante e che nessun settore, comprese le aziende che costruiscono e proteggono la nostra infrastruttura digitale, è esente dall'essere preso di mira.

Cosa sappiamo del gruppo ransomware Sovcali

Sovcali è descritto come un sindacato ransomware emergente, il che significa che si tratta di un'operazione di recente identificazione senza un ampio track record pubblico. Secondo l'allerta, il gruppo ha inserito un'organizzazione del settore tecnologico sul suo sito di leak basato su Tor, una tattica comunemente usata dagli operatori ransomware per fare pressione sulle vittime affinché paghino, minacciando l'esposizione pubblica dei dati rubati.

Il metodo del gruppo segue il playbook ormai standard della doppia estorsione. Anziché limitarsi a cifrare i file di una vittima e chiedere un pagamento per una chiave di decifratura, Sovcali esfiltra presumibilmente i dati dalle reti prese di mira prima di distribuire la cifratura. Questo offre agli attaccanti due leve: le vittime affrontano sia l'interruzione operativa dei sistemi cifrati sia la minaccia che informazioni sensibili vengano pubblicate o vendute se il riscatto non viene pagato.

Sul piano tecnico, si riporta che Sovcali utilizzi una combinazione di crittografia AES-256 e RSA, un approccio ampiamente diffuso nell'ecosistema ransomware perché abbina una rapida cifratura simmetrica dei file (AES-256) a uno strato asimmetrico (RSA) che protegge le chiavi di cifratura stesse. Questa combinazione rende estremamente difficile la decifratura non autorizzata senza la chiave privata dell'attaccante, che è esattamente il punto: rafforza la posizione negoziale del gruppo una volta che i sistemi di una vittima sono stati bloccati.

Perché continuano a emergere nuovi gruppi ransomware

La comparsa di un gruppo come Sovcali non è un evento isolato. Il ransomware come modello di business criminale si è dimostrato resiliente e adattabile, e l'azione delle forze dell'ordine contro un'operazione tende a essere seguita dall'emergere di nuovi marchi, talvolta composti da affiliati o ex membri di gruppi smantellati. Questo schema di rapida formazione di gruppi è stato documentato altrove, anche nei resoconti sul gruppo di estorsione ExfilSquad, emerso e rapidamente rivendicato oltre una dozzina di vittime, e sul gruppo ransomware Moondancer, che si è concentrato sul reclutamento di nuovi affiliati in America Latina.

I numeri più ampi confermano la tendenza. Una recente analisi di settore, il Rapporto ransomware Black Kite 2026, ha tracciato migliaia di vittime ransomware nell'arco di un singolo anno, sottolineando che gruppi come Sovcali stanno entrando in un mercato criminale già affollato e altamente attivo, non in una nicchia. Per le organizzazioni e gli individui, ciò significa che la minaccia non è un picco temporaneo legato a una singola banda famigerata, ma una caratteristica persistente dell'attuale panorama della cybersecurity.

Doppia estorsione e l'aspetto della privacy dei dati

Ciò che rende il caso Sovcali particolarmente rilevante dal punto di vista della privacy è la componente di esfiltrazione dei dati. Anche le organizzazioni con solide pratiche di backup, in grado di ripristinare i sistemi cifrati senza pagare un riscatto, restano esposte al rischio che i dati rubati vengano divulgati pubblicamente. Questi dati possono includere registrazioni dei clienti, informazioni dei dipendenti, proprietà intellettuale o comunicazioni interne, ognuno dei quali può alimentare frodi successive, phishing o furto d'identità ai danni di persone che non hanno avuto alcun ruolo diretto nella violazione.

Le vittime del settore tecnologico comportano una dimensione di rischio aggiuntiva, perché queste aziende spesso detengono dati sensibili appartenenti ai propri clienti e partner, il che significa che un singolo attacco riuscito può propagarsi lungo una catena di fornitura.

Cosa significa per te

Se sei un cliente, un partner o un dipendente di un'azienda tecnologica, incidenti come questo sono un segnale per restare vigili anziché farsi prendere dal panico. I gruppi ransomware fanno affidamento sul fatto che i dati rubati abbiano valore sul mercato nero o come leva, e una volta che le informazioni vengono pubblicate su un sito di leak, possono essere raccolte e riutilizzate da altri attori malevoli per anni. Monitorare attività anomale sugli account, utilizzare password uniche per i vari servizi e abilitare l'autenticazione a più fattori ovunque possibile restano le difese personali più efficaci contro gli effetti a valle di queste violazioni.

Per le organizzazioni, il caso Sovcali rafforza il valore di presumere che qualsiasi intrusione riuscita comporti probabilmente furto di dati, non solo cifratura. I piani di risposta agli incidenti dovrebbero tenere conto di entrambi gli scenari fin dall'inizio.

Punti chiave actionable

  • Presumi che la doppia estorsione sia la norma: esegui il backup dei sistemi, ma pianifica anche la possibilità che i dati rubati possano essere divulgati indipendentemente dal pagamento del riscatto.
  • Fai attenzione alle notifiche dei fornitori tecnologici che utilizzi e agisci rapidamente su qualsiasi divulgazione di violazione.
  • Usa password uniche e robuste e l'autenticazione a più fattori per limitare i danni se le credenziali dovessero comparire in una futura fuga di dati.
  • Segui la copertura continua di threat intelligence sui gruppi emergenti come Sovcali, poiché nuove operazioni ransomware continuano a formarsi e a prendere di mira un'ampia gamma di settori.