RansomHouse colpisce il Ministero della Difesa Namibia: il caso del 19 settembre

Il 19 settembre 2026 il Communications Regulatory Authority of Namibia ha confermato attraverso Nam-CSIRT che il Ministero della Difesa e degli Affari dei Veterani è stato attaccato dal gruppo ransomware RansomHouse. Il listing sul sito di leak criminale era apparso tre giorni prima, il 16 settembre alle 15:32 UTC, con il dominio www.mod.gov.na e la dicitura "Namibian Defence Force". La conferma arriva da un'istituzione appena costituita — Nam-CSIRT è stato lanciato il 16 aprile 2025 — che si trova ora a gestire una crisi senza precedenti per il paese.

Il metodo RansomHouse: da piattaforma affiliate a target istituzionale

RansomHouse opera come piattaforma con operatori core e affiliate che conducono intrusioni autonomamente. Secondo quanto riportato da Halcyon e citato nella fonte primaria, il gruppo ottiene tipicamente accesso iniziale sfruttando edge appliance non patchate: Citrix NetScaler, Palo Alto GlobalProtect, Check Point. Questo pattern — edge network come punto di ingresso, credential harvesting, lateral movement, esfiltrazione massiva verso cloud storage — è documentato su altre vittime. La sua applicazione specifica all'incidente namibiano resta però inferenziale: nessuna fonte ha verificato quale appliance, se presente, sia stata compromessa nel Ministero della Difesa.

Il modello di double extortion segnala una maturità operativa. RansomHouse non si limita a cifrare i sistemi: minaccia la pubblicazione dei dati rubati per esercitare pressione sulla vittima. Va notato che il gruppo ha storia di operazioni "theft only", senza encryption.

Le cartelle trapelate: nomi sensibili, contenuto non verificato

La fonte riporta che Xinhua, citando la Namibian Broadcasting Corporation, abbia descritto file con cartelle denominate Commander, Defence, Military, Financials e Personal. Questi nomi suggeriscono una struttura organizzativa gerarchica e dati potenzialmente sensibili. Tuttavia, l'articolo originale avverte esplicitamente che i nomi delle cartelle "descrivono i contenitori piuttosto che i contenuti" e che non sono stati verificati indipendentemente.

Non emerge alcuna conferma investigativa sulla linea di inchiesta che indicava un capitano a Okahandja come vettore di ingresso tramite click su link malevolo. Questa pista resta non verificata.

"Cybersecurity incidents of this nature serve as a reminder that no organisation, regardless of size or mandate, is immune to the evolving threat landscape." — Emilia Nghikembua, head di Nam-CSIRT e CEO di CRAN

Il contesto istituzionale: Nam-CSIRT appena nato, nessuna legge cybercrime

La Namibia non dispone di una legge specifica sul cybercrime al momento dell'incidente. Nam-CSIRT, ospitato presso Communications Regulatory Authority of Namibia, è operativo da meno di diciotto mesi. Questa configurazione — CERT neonato, assenza di quadro normativo, target ministero della difesa — rende l'incidente un caso studio sulla fragilità strutturale delle istituzioni di risposta africane di fronte a gruppi maturi.

Il passaggio da target commerciali — nel dicembre 2024 Telecom Namibia subì un attacco con 626,3 gigabyte di dati esfiltrati, secondo la fonte — a target di intelligence nazionale segna una escalation nella criminalità informatica del continente. A settembre 2026, i servizi di monitoraggio elencavano 209 vittime di RansomHouse. L'inclusione di un ministero della difesa in questo elenco è anomala per la regione.

Perche e importante

La fonte non documenta se i sistemi siano stati isolati, se siano in corso analisi forensi sui log di rete, se sia stata notificata autorità giudiziaria nazionale o internazionale. Non emergono sovrapposizioni infrastrutturali che colleghino gli operatori di questo specifico attacco a campagne precedenti attribuite a RansomHouse: l'attribuzione al gruppo è operativa, non tecnica.

L'assenza di fonti tecniche primarie — advisory CERT, report vendor, analisi forense pubblica — limita il dossier a ricostruzione giornalistica senza evidence map tecnica indipendente.

Per istituzioni africane e pubbliche, il caso evidenzia vulnerabilità sistemica delle infrastrutture edge network non mantenute. Per il settore cybersecurity, segna evoluzione da data breach commerciale a evento con potenziali implicazioni di counterintelligence. Per policy maker namibiani, rende visibile l'interdipendenza tra assenza di legge cybercrime e capacità di risposta effettiva.

Lettura: il salto qualitativo del ransomware africano

L'attacco al Ministero della Difesa namibiano non è un incidente isolato ma un segnale di saturazione. I gruppi ransomware hanno esaurito i target commerciali facili nei mercati maturi e spostano la mira verso istituzioni pubbliche in regioni con governance tecnologica debole. La Namibia offre condizioni ottimali: CERT recente, nessuna legge cybercrime, edge network presumibilmente non aggiornati. RansomHouse ha calcolato il rischio-rendimento e ha puntato su Vote 8 — la designazione budgetaria del ministero — come target di valore strategico.

La citazione dell'editoriale Mt Kenya Times definisce la differenza: "A breach at a telecommunications operator is a data protection failure. A breach at a defence ministry is a counterintelligence event." Questa distinzione non è retorica. Il dato esfiltrato da un ministero della difesa ha valore diverso da quello di un operatore commerciale: può alimentare intelligence di stato, influenzare equilibri regionali, compromettere partenariati militari.

Il pericolo immediato non è tecnico ma sistemico. Se Nam-CSIRT fallisce nella gestione di questo incidente, il segnale per altri gruppi ransomware è chiaro: i ministeri della difesa africani sono bersagli aperti, con risposta lenta e nessuna conseguenza giuridica prevedibile. La competizione tra gruppi affiliate per prime intrusioni in questo segmento potrebbe intensificarsi nei prossimi mesi.

Domande frequenti

I dati militari namibiani sono stati compromessi?

I nomi delle cartelle trapelate (Commander, Defence, Military, Financials, Personal) non provano la natura dei documenti contenuti.

Chi ha confermato l'attacco?

Nam-CSIRT, il Computer Security Incident Response Team della Namibia ospitato presso Communications Regulatory Authority of Namibia, con dichiarazione di Emilia Nghikembua in qualità di head del team e CEO di CRAN.

Il vettore di accesso è noto?

No. La fonte riporta un'ipotesi non confermata (capitano a Okahandja, link malevolo) e un pattern generale RansomHouse su edge appliance non patchate, senza collegamento verificato a questo incidente.

Fonti

• https://mountkenyatimes.co.ke/breach-at-vote-8-what-the-attack-on-the-namibian-defence-establishment-means-for-national-security/
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/vulnerability-detail-pages
• https://nvd.nist.gov/developers/vulnerabilities
• https://nvd.nist.gov/vuln/weaknesses
• https://nvd.nist.gov/vuln/data-feeds
• https://nvd.nist.gov/vuln/vendor-comments
• https://nvd.nist.gov/vuln/cvmap