Luna Moth leaks: l'azienda criminale dietro 207 milioni di estorsioni

I file trafugati e pubblicati su un sito onion denominato "The Luna Moth Files" intorno al 5 ottobre 2026 hanno esposto l'anatomia interna di un gruppo di estorsione dati che opera come una struttura aziendale. Check Point ha pubblicato la sua analisi il 9 ottobre 2026, confermando pattern precedentemente documentati da vendor e firm di incident response: Luna Moth, noto anche come Silent Ransom Group, Chatty Spider e UNC3753, non è una crew tecnica tradizionale ma un'organizzazione con ruoli specializzati, metriche di revenue e processi di ingegneria sociale misurabili come qualsiasi pipeline commerciale.

Il motore dell'estorsione: vishing come production process

Il documento vishing trapelato rivela un'architettura deliberata di manipolazione psicologica. Il caller deve guidare la vittima attraverso un arco narrativo preciso: generare ansia, offrire rassicurazione, rinnovare l'urgenza. L'accesso remoto viene inquadrato come un "security check protettivo", non come compromissione. Durante la chiamata, il caller monitora una chat di gruppo per segnalare cambiamenti nel comportamento della vittima, coordinandosi con un secondo operatore che gestisce effettivamente la sessione remota.

La divisione dei ruoli è simultanea e funzionale: "while one individual is actively speaking to the victim... it's another individual who is actually using the remote software". Questa separazione tra interfaccia umana e azione tecnica consente al caller di mantenere il controllo psicologico mentre l'exfiltration procede in parallelo. Secondo l'analisi di Check Point, "the call acts as a control channel. It keeps the victim cooperative while access and data collection happen in parallel".

Il target sistematico: law firm come asset ad alto rendimento

La focalizzazione settoriale non è casuale. Nei leaked files, 42 delle 50 vittime più recenti sono law firms; nel dataset più ampio le classificazioni sono 69 Business Services, 22 Finance e 2 Real Estate. S-RM, firm di incident response con engagement diretti con vittime Luna Moth, conferma che il 78% delle vittime note nel 2026 appartiene al settore legale, proporzione più alta di qualsiasi altro gruppo di estorsione documentato.

La specializzazione ha una logica economica. Le richieste iniziali sono spesso a sette-otto cifre; Veeeam documenta demands riportate di 20 milioni di dollari per law firms. Il gruppo esercita pressione aggressiva con deadline giornaliere, minacciando di coinvolgere clienti e controparti legali. La posta in gioco non è la disponibilità dei dati — manca l'encryption — ma la riservatezza delle comunicazioni attorney-client, dei dossier di due diligence, delle strategie processuali.

"If authentic, the exposure shows that Luna Moth should be understood less as a conventional ransomware crew and more as a specialized data-extortion business whose core platform is the coordinated manipulation of trust"

La governance criminale: salari, bonus e rotazione del personale

I leaked files disegnano un'organizzazione con strutture di incentivazione riconoscibili. I membri ricevono combinazioni di salario e bonus legati a casi di successo. Le chat mostrano stati di negoziazione codificati: "CHAT", "OFFER", "CONTRACT", "GOLD". Questa pipeline gestionale applicata all'estorsione indica un livello di industrializzazione che distingue Luna Moth dai modelli ransomware-as-a-service tradizionali.

La fonte non specifica la natura esatta dei dati esposti nei singoli incidenti. Tuttavia, i membri delle chat discutono di creare un nuovo brand, "Sleepless Threat", con infrastruttura separata — un progetto in fase di setup, non confermato come attivo. Altre conversazioni toccano spionaggio sulla difesa USA e reclutamento di personale militare, ma S-RM classifica queste discussioni come "aspirazionali", non realizzate operativamente.

Il calcolo del rischio: quando il pagamento non compra la privacy

Un dato emerge con chiarezza dalle conversazioni: il pagamento del riscatto non garantisce che i dati siano effettivamente cancellati. I membri delle chat indicano che copie possono essere conservate al di fuori del controllo diretto del negoziatore, con riferimenti a decine di organizzazioni con incidenti "risolti privatamente". S-RM ribadisce il principio nel suo briefing: "Payment is never a guarantee of privacy". Questa dinamica rende particolarmente insidioso il modello exfiltration-only, dove l'unica "merce" scambiata è una promessa di cancellazione non verificabile.

Il contesto di mercato amplifica la pressione sui gruppi exfiltration-only. I dati di Veeeam mostrano un tasso di pagamento in calo dal 19% nel terzo trimestre 2025 al 15% nel secondo trimestre 2026, record negativo per questo segmento. Questa contrazione rende il modello di business rischioso anche per gli attaccanti, spingendo verso target più ricchi e pressione negoziale più intensa — un circolo vizioso che penalizza le vittime con maggiore esposizione.

Cosa fare adesso

Per le organizzazioni, e in particolare per i professional services con dati sensibili di clienti, le azioni prioritarie derivano direttamente dai pattern documentati:

• Verificare out-of-band ogni richiesta di supporto IT che richieda installazione di strumenti di accesso remoto; il vishing Luna Moth impersona IT support con domini e siti lookalike costruiti ad hoc su target individuali.
• Monitorare l'uso non autorizzato di RMM legittimi come Quick Assist e AnyDesk all'interno dell'ambiente aziendale; questi sono i vettori primari documentati, non payload malware tradizionali.
• Implementare controlli su tool di trasferimento dati come WinSCP e Rclone, particolarmente quando eseguiti da sessioni remote o con credenziali non standard.
• Rivedere le procedure di verifica identità per chiamate in ingresso che coinvolgono dati sensibili, considerando che i caller operano con script psicologici testati e coordinamento in tempo reale con operatori tecnici.

Il leaker e il suo movente restano ignoti. L'autenticità dei file non è verificata indipendentemente, ma la consistenza con i pattern documentati da Check Point, S-RM e Veeeam suggerisce plausibilità. L'identità degli individui specifici mostrati nei file — foto, curriculum — non è confermata. S-RM non conferma inoltre se il materiale circolante rappresenti l'intero archivio o una selezione parziale.

Perché il modello Luna Moth ridefinisce la minaccia

L'analisi dei leaked files conferma una trasformazione strutturale del crimine informatico. Come nota Veeeam, "Silent took the malware out of ransomware and still sees success — because encryption was never the point, and for this group, data was always the asset". L'assenza di encryption elimina la leva tecnica di recovery, spostando tutto sulla negoziazione di una promessa. In questo scenario, le difese tecniche tradizionali — EDR, backup, segmentazione — sono bypassate non per fallimento tecnico ma per sovvertimento umano.

Il vero prodotto di Luna Moth non è il malware ma il processo di ingegneria sociale. La misurabilità dei suoi output — stati di negoziazione, tassi di conversione, revenue per operatore — lo rende paragonabile a una pipeline aziendale legittima. Questa osservazione, se autentica il leak che la documenta, ha conseguenze difensive decisive: l'unico controllo efficace non è tecnico ma processuale, radicato nella verifica umana out-of-band prima che qualsiasi sessione remota venga autorizzata.

Fonti

• https://www.infosecurity-magazine.com/news/luna-moth-leaks-ransomware-playbook/
• https://blog.checkpoint.com/security/how-luna-moth-runs-data-extortion-like-a-business/
• https://www.s-rminform.com/latest-thinking/the-luna-moth-files
• https://www.veeam.com/blog/silent-ransom-group-luna-moth.html
• https://www.s-rminform.com/latest-thinking/ransomware-in-focus-luna-moth
• https://cyberint.com/platform/digital-brand-protection/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti