Ransomware in Giappone: The Gentlemen sfonda il muro delle PMI con arsenale

Il ransomware nel primo semestre 2026 in Giappone ha colpito 90 organizzazioni, con un aumento del circa 4,7% rispetto alle 86 vittime dello stesso periodo del 2025. Il gruppo The Gentlemen, nato come operazione RaaS nel luglio 2025, è balzato in testa alla classifica con 14 incidenti attribuiti, scavalcando actor più consolidati. La novità tecnica più rilevante: l'arsenale individuato nella sua infrastruttura open directory replica la sofisticazione tipica di operazioni state-sponsored, non quella di una gang criminale nata da meno di un anno.

Il dato: il manifatturiero e le PMI nel mirino

Il settore manifatturiero assorbe il 34% degli attacchi nel campione Talos, una quota che rispecchia il targeting strategico di supply chain e dati proprietari. Le organizzazioni con capitale inferiore a 100 milioni di yen rappresentano il 48% delle vittime; se si allarga la soglia a un miliardo, la quota sale al circa 78%. Questo spostamento di circa 13 punti percentuali rispetto al 69% del 2025 segnala un'accelerazione dell'economia di scala criminale: i gruppi RaaS hanno ottimizzato il targeting verso target meno difesi, dove il rapporto costo/beneficio dell'attacco è massimo.

Il dato include anche un 13,3% di casi con coinvolgimento di uffici o sussidiarie estere, elemento che complica la risposta incident e allarga la superficie d'attacco oltre i confini nazionali. The Gentlemen, in particolare, ha il 21% delle vittime globali nel manifatturiero: il Giappone non è un'eccezione geografica, ma un segmento di una strategia verticale più ampia.

L'infrastruttura di The Gentlemen: tool APT su base RaaS

Cisco Talos Intelligence ha identificato una directory aperta contenente tool per attacchi a infrastrutture ESXi e Windows. L'elenco tecnico è indicativo di una maturità insolitamente elevata per un'operazione nata nel 2025: RustHound per la ricognizione automatizzata di Active Directory, Responder per attacchi Adversary-in-the-Middle, impacket-partial-mic per relay NTLM, Ligolo-ng e Chisel per tunneling multi-livello, AnyDesk per accesso remoto, Rclone per esfiltrazione. Completa il quadro un exploit per la CVE-2025-2479, una vulnerabilità di SQL injection con punteggio CVSS 6.1 MEDIUM secondo il record NVD.

Il flusso di attacco documentato da Talos si articola in tre fasi. La prima prevede lo stabilimento della piattaforma tramite VPN, Chisel e Ligolo-ng per tunneling. La seconda è dedicata alla ricognizione del target: Masscan, Nmap, NetExec e RustHound per mappare la rete e identificare percorsi di privilege escalation. La terza fase è iniziata nel dossier ma il testo si interrompe, lasciando non documentata la sequenza finale di esecuzione e deployment del ransomware.

Cisco Talos Intelligence afferma che "The Gentlemen and SafePay have increased their activity this year and can be considered emerging ransomware groups that require increased vigilance". La crescita dei listing sul leak site — da 48 a 105 in sei mesi — sostanzia questa valutazione con una metrica oggettiva di espansione operativa.

"Qilin, which recorded the second-highest number of observed incidents in 2026 after The Gentlemen, is leveraging AI to improve the efficiency of its operations" — Cisco Talos Intelligence

Qilin e l'uso di AI: un segnale di accelerazione

Qilin, con 7 incidenti a pari merito con SafePay, è il secondo gruppo per attività nel periodo. La citazione riportata da Talos è l'unico elemento disponibile sul suo impiego di intelligenza artificiale: il dossier non specifica se si tratti di modelli generativi, sistemi di ottimizzazione operativa, automazione della ricognizione o altre applicazioni. Il claim rimane quindi senza contorni tecnici, ma la sua inclusione in un report strutturato di Cisco Talos Intelligence ne conferma il rilievo analitico.

L'assenza di dettagli non consente di calibrare l'impatto concreto di questa integrazione. Ciò che il dossier documenta è l'intenzionalità: Qilin sta investendo in AI come leva competitiva, in un mercato criminale dove l'efficienza operativa determina il volume di vittime gestibili. La convergenza di RaaS maturi e tool automatizzati — o automatizzabili — disegna una curva di minaccia con pendenza potenzialmente più ripida rispetto all'evoluzione storica del ransomware.

Il vettore geografico e linguistico

Il dossier introduce un elemento di incertezza sull'origine di The Gentlemen: "there is a possibility that Russian-speaking individuals are involved in The Gentlemen's attacks". Si tratta esplicitamente di una possibilità, non di un'attribuzione confermata. Non emergono sovrapposizioni infrastrutturali che colleghino il gruppo ad actor noti di lingua russa allo stato attuale. L'origine geografica effettiva del gruppo resta non documentata.

Questa cautela metodologica è coerente con le pratiche di attribuzione di Cisco Talos Intelligence: la presenza di operatori di lingua russa non implica necessariamente una base operativa in territorio russo né un collegamento strutturale con il crimeware tradizionale di quell'area. Il dossier non va oltre questa constatazione.

Perché è importante

Il dossier non documenta misure correttive specifiche né raccomandazioni operative esplicite per le organizzazioni esposte. La fonte non specifica la natura dei dati esfiltrati nelle campagne di The Gentlemen, né il tasso di successo delle negoziazioni o il importo medio dei riscatti. La CVE-2025-2479 è presente nell'infrastruttura ma il dossier non verifica un suo utilizzo in-the-wild in attacchi confermati.

Il report di Talos si interrompe nella descrizione della Phase 3 del flusso di attacco, lasciando incompleta la ricostruzione della kill chain. Non è possibile stabilire se l'esposizione riguardi specifiche versioni di software o configurazioni vulnerabili: il brief non elenca prodotti, patch disponibili né indicatori di compromesso utilizzabili per detection.

Ciò che il dossier rende evidente è la velocità di maturazione del modello RaaS: The Gentlemen ha compresso in 12 mesi una curva di sofisticazione che actor precedenti hanno percorso in anni. La combinazione di ricognizione AD automatizzata, tunneling multi-livello e tecniche di autenticazione relay non è più prerogativa di operazioni nation-state. Il Giappone, con la sua densità di PMI manifatturiere e la tradizione di sicurezza perimetrale, offre a questo modello un target ottimale.

L'uso di AI da parte di Qilin, per quanto non dettagliato, introduce una variabile di accelerazione non quantificabile con i dati disponibili. Se l'efficienza operativa diventa il parametro competitivo nel mercato RaaS, la frequenza degli incidenti potrebbe disaccoppiarsi dalla crescita lineare storica e assumere profili più ripidi. Il circa 4,7% di aumento nel primo semestre 2026 potrebbe essere l'ultimo dato di una serie ancora gestibile, o il primo di una transizione di fase.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://blog.talosintelligence.com/ransomware-incidents-in-japan-in-the-first-half-of-2026/