RansomHouse colpisce il Ministero della Difesa Namibia: il caso del 19 settembre

Il 19 settembre 2026 il Communications Regulatory Authority of Namibia ha confermato attraverso Nam-CSIRT che il Ministero della Difesa e degli Affari dei Veterani è stato attaccato dal gruppo ransomware RansomHouse. Il listing sul sito di leak criminale era apparso tre giorni prima, il 16 settembre alle 15:32 UTC, con il dominio www.mod.gov.na e la dicitura "Namibian Defence Force". La conferma arriva da un'istituzione appena costituita — Nam-CSIRT è stato lanciato il 16 aprile 2025 — che si trova ora a gestire una crisi senza precedenti per il paese.

Il metodo RansomHouse: da piattaforma affiliate a target istituzionale

RansomHouse opera come piattaforma con operatori core e affiliate che conducono intrusioni autonomamente. Secondo quanto riportato da Halcyon e citato nella fonte primaria, il gruppo ottiene tipicamente accesso iniziale sfruttando edge appliance non patchate: Citrix NetScaler, Palo Alto GlobalProtect, Check Point. Questo pattern — edge network come punto di ingresso, credential harvesting, lateral movement, esfiltrazione massiva verso cloud storage — è documentato su altre vittime. La sua applicazione specifica all'incidente namibiano resta però inferenziale: nessuna fonte ha verificato quale appliance, se presente, sia stata compromessa nel Ministero della Difesa.

Il modello di double extortion segnala una maturità operativa. RansomHouse non si limita a cifrare i sistemi: minaccia la pubblicazione dei dati rubati per esercitare pressione sulla vittima. Va notato che il gruppo ha storia di operazioni "theft only", senza encryption. Il dossier non specifica se l'incidente namibiano abbia incluso fase di cifratura o si sia limitato all'esfiltrazione.

Le cartelle trapelate: nomi sensibili, contenuto non verificato

La fonte riporta che Xinhua, citando la Namibian Broadcasting Corporation, abbia descritto file con cartelle denominate Commander, Defence, Military, Financials e Personal. Questi nomi suggeriscono una struttura organizzativa gerarchica e dati potenzialmente sensibili. Tuttavia, l'articolo originale avverte esplicitamente che i nomi delle cartelle "descrivono i contenitori piuttosto che i contenuti" e che non sono stati verificati indipendentemente. Il dossier non fornisce alcuna informazione sul contenuto effettivo dei file, sulla loro classificazione di sicurezza o sul loro utilizzo operativo.

Non emerge alcuna conferma investigativa sulla linea di inchiesta che indicava un capitano a Okahandja come vettore di ingresso tramite click su link malevolo. Questa pista resta non verificata.

"Cybersecurity incidents of this nature serve as a reminder that no organisation, regardless of size or mandate, is immune to the evolving threat landscape." — Emilia Nghikembua, head di Nam-CSIRT e CEO di CRAN

Il contesto istituzionale: Nam-CSIRT appena nato, nessuna legge cybercrime

La Namibia non dispone di una legge specifica sul cybercrime al momento dell'incidente. Nam-CSIRT, ospitato presso Communications Regulatory Authority of Namibia, è operativo da meno di diciotto mesi. Questa configurazione — CERT neonato, assenza di quadro normativo, target ministero della difesa — rende l'incidente un caso studio sulla fragilità strutturale delle istituzioni di risposta africane di fronte a gruppi maturi.

Il passaggio da target commerciali — nel dicembre 2024 Telecom Namibia subì un attacco con 626,3 gigabyte di dati esfiltrati, secondo la fonte — a target di intelligence nazionale segna una escalation nella criminalità informatica del continente. A settembre 2026, i servizi di monitoraggio elencavano 209 vittime di RansomHouse. L'inclusione di un ministero della difesa in questo elenco è anomala per la regione.

Perche e importante

Il dossier non specifica misure correttive adottate dal Ministero della Difesa o interventi di contenimento tecnico. La fonte non documenta se i sistemi siano stati isolati, se siano in corso analisi forensi sui log di rete, se sia stata notificata autorità giudiziaria nazionale o internazionale. Non emergono sovrapposizioni infrastrutturali che colleghino gli operatori di questo specifico attacco a campagne precedenti attribuite a RansomHouse: l'attribuzione al gruppo è operativa, non tecnica.

Il brief non elenca patch disponibili, indicatori di compromissione verificati, o raccomandazioni vendor specifiche per l'incidente. L'assenza di fonti tecniche primarie — advisory CERT, report vendor, analisi forense pubblica — limita il dossier a ricostruzione giornalistica senza evidence map tecnica indipendente.

Per istituzioni africane e pubbliche, il caso evidenzia vulnerabilità sistemica delle infrastrutture edge network non mantenute. Per il settore cybersecurity, segna evoluzione da data breach commerciale a evento con potenziali implicazioni di counterintelligence. Per policy maker namibiani, rende visibile l'interdipendenza tra assenza di legge cybercrime e capacità di risposta effettiva.

Lettura: il salto qualitativo del ransomware africano

L'attacco al Ministero della Difesa namibiano non è un incidente isolato ma un segnale di saturazione. I gruppi ransomware hanno esaurito i target commerciali facili nei mercati maturi e spostano la mira verso istituzioni pubbliche in regioni con governance tecnologica debole. La Namibia offre condizioni ottimali: CERT recente, nessuna legge cybercrime, edge network presumibilmente non aggiornati. RansomHouse ha calcolato il rischio-rendimento e ha puntato su Vote 8 — la designazione budgetaria del ministero — come target di valore strategico.

La citazione dell'editoriale Mt Kenya Times definisce la differenza: "A breach at a telecommunications operator is a data protection failure. A breach at a defence ministry is a counterintelligence event." Questa distinzione non è retorica. Il dato esfiltrato da un ministero della difesa ha valore diverso da quello di un operatore commerciale: può alimentare intelligence di stato, influenzare equilibri regionali, compromettere partenariati militari. La destinazione finale dei dati — mercato nero, intelligence nazionale, entrambi — non è documentata nel brief.

Il pericolo immediato non è tecnico ma sistemico. Se Nam-CSIRT fallisce nella gestione di questo incidente, il segnale per altri gruppi ransomware è chiaro: i ministeri della difesa africani sono bersagli aperti, con risposta lenta e nessuna conseguenza giuridica prevedibile. La competizione tra gruppi affiliate per prime intrusioni in questo segmento potrebbe intensificarsi nei prossimi mesi.

Domande frequenti

I dati militari namibiani sono stati compromessi?

Il dossier non verifica il contenuto dei file. I nomi delle cartelle trapelate (Commander, Defence, Military, Financials, Personal) non provano la natura dei documenti contenuti.

Chi ha confermato l'attacco?

Nam-CSIRT, il Computer Security Incident Response Team della Namibia ospitato presso Communications Regulatory Authority of Namibia, con dichiarazione di Emilia Nghikembua in qualità di head del team e CEO di CRAN.

Il vettore di accesso è noto?

No. La fonte riporta un'ipotesi non confermata (capitano a Okahandja, link malevolo) e un pattern generale RansomHouse su edge appliance non patchate, senza collegamento verificato a questo incidente.

Fonti

• https://mountkenyatimes.co.ke/breach-at-vote-8-what-the-attack-on-the-namibian-defence-establishment-means-for-national-security/
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/vulnerability-detail-pages
• https://nvd.nist.gov/developers/vulnerabilities
• https://nvd.nist.gov/vuln/search
• https://nvd.nist.gov/vuln/weaknesses
• https://nvd.nist.gov/vuln/data-feeds
• https://nvd.nist.gov/vuln/vendor-comments
• https://nvd.nist.gov/vuln/cvmap

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti