The Gentlemen rivendica Abaco Viaggi: nuova vittima italiana sul leak site del gruppo ransomware
Il gruppo ransomware The Gentlemen ha inserito Abaco Viaggi nel proprio sito di divulgazione dati. Ransomfeed ha registrato la rivendicazione la sera del 7 settembre 2026 (ore 21:51, scheda 35801), indicando come dominio colpito abacoviaggi.it; Ransomware.live la riporta alla stessa ora UTC e indica come data stimata dell’attacco lo stesso 7 settembre, che coincide però con il giorno della pubblicazione sul leak site e non documenta quando sia avvenuta l’intrusione. Al momento non risultano conferme da parte della società, di ACN o di CSIRT Italia: il caso va trattato come rivendicazione criminale, non come compromissione accertata.
Chi è la vittima indicata
Il dominio abacoviaggi.it è quello delle caselle di posta delle agenzie di Abaco Viaggi S.r.l., tour operator specializzato in viaggi di gruppo con accompagnatore dall’Italia. Secondo il sito ufficiale, la società ha sede legale a Codroipo (Udine), in Piazza Garibaldi 44, e sede operativa in Via Italia 30 nello stesso comune; partita IVA 02902530274, capitale sociale di 50.000 euro, iscrizione REA UD-233689. I punti vendita si trovano a Codroipo, Udine, Fiume Veneto, San Michele al Tagliamento e Portogruaro. Ufficio Camerale, che precisa di non attingere direttamente al Registro Imprese, riporta 45 dipendenti e un fatturato 2024 di circa 28,6 milioni di euro.
La scheda pubblicata dagli attaccanti descrive invece un’agenzia “fondata nel 1997 a Bologna”, con una partita IVA diversa. Nessun registro pubblico consultato conferma l’esistenza di una società con quei dati; l’unico elemento oggettivo del post resta il dominio, che rimanda all’azienda friulana. All’8 settembre la home page di Abaco Viaggi non riporta alcuna comunicazione sull’incidente.
Cosa sostengono gli attaccanti
Nel post il gruppo afferma di aver scaricato dati personali riservati e informazioni sui clienti, documenti finanziari e contabili, corrispondenza commerciale e documenti legali, e-mail, informazioni sull’infrastruttura IT, accessi e credenziali. È una dichiarazione di parte, che nessun soggetto indipendente ha verificato. Il post non indica la data dell’incidente né la quantità di dati; non sono noti il vettore iniziale e l’eventuale cifratura dei sistemi.
Chi è The Gentlemen
The Gentlemen è un’operazione ransomware-as-a-service comparsa a metà 2025. Microsoft traccia gli operatori come Storm-2697: il gruppo è nato come operazione chiusa e ha aperto il programma agli affiliati nel settembre 2025. Secondo Halcyon e Blackpoint, il nucleo operava in precedenza con il nome ArmCorp come affiliato di Qilin; la separazione è stata resa pubblica il 22 luglio 2025 con una disputa su circa 48.000 dollari di commissioni non pagate, mentre il primo campione del malware era comparso su VirusTotal il 17 luglio.
La crescita è stata rapida. Unit 42 riporta 580 vittime in 77 paesi al 7 luglio 2026, con un picco di 117 rivendicazioni nel solo mese di giugno. Comparitech, al 20 agosto, contava 675 attacchi dall’estate 2025, di cui 600 nei primi sette mesi del 2026: una media di 2,8 al giorno, seconda solo a Qilin. Il gruppo cede agli affiliati il 90% di ogni riscatto, contro il 70-80% dei programmi concorrenti, e nel maggio 2026 ha annunciato un accordo con BreachForums per reclutare affiliati, penetration tester e broker di accessi iniziali. Un modello di affiliazione aggressivo accomuna The Gentlemen ad altre sigle recenti, come Panzer ransomware, che ha colpito due aziende italiane nelle scorse settimane.
Gli operatori praticano la doppia estorsione: cifrano i dati e li esfiltrano, minacciandone la pubblicazione. Secondo l’analisi Microsoft del 28 maggio 2026, la variante Windows è scritta in Go, cifra ogni file con una chiave distinta e include un modulo di autopropagazione che tenta 21 diverse operazioni di esecuzione remota su ogni host raggiungibile. Halcyon indica come vettore d’accesso principale CVE-2024-55591, un bypass di autenticazione in FortiOS e FortiProxy. Nel maggio 2026 il gruppo ha subito a sua volta una violazione del proprio backend, con esposizione di chat interne, dati sugli affiliati e trascrizioni delle trattative; secondo Blackpoint l’attività è ripresa dopo la ricostruzione dell’infrastruttura. Le fasi di ricognizione, movimento laterale e disattivazione delle difese seguono lo schema del ransomware human-operated, in cui l’intrusione è condotta manualmente prima della cifratura.
Il contesto italiano
Nel 2026 The Gentlemen è una presenza costante negli elenchi delle vittime italiane. Il motore di ricerca di Ransomfeed, interrogato l’8 settembre, restituisce 21 rivendicazioni del gruppo contro organizzazioni con sede in Italia tra il 4 aprile e il 30 agosto: tra le più recenti, General Gruppo ed Exacta Optech Labcenter (30 agosto), Ariel Energia (21 agosto), ACLI e IPS (14 agosto) e cinque aziende pubblicate nella stessa mattinata del 7 agosto, tra cui il produttore HIWIN. Comparitech, con un criterio di conteggio diverso, attribuisce al gruppo 18 attacchi in Italia tra gennaio e luglio, di cui uno solo confermato dalla vittima, proprio HIWIN.
Abaco Viaggi non figura in quell’elenco: nella scheda Ransomfeed i campi paese, settore e dati pubblicati sono vuoti, quindi la rivendicazione non compare a chi filtra per Italia. È un dettaglio operativo utile a chi monitora le minacce nazionali con strumenti automatici: una vittima italiana può restare fuori dai conteggi finché la classificazione non viene corretta.
Cosa aspettarsi
Fino a una comunicazione della società o a una segnalazione istituzionale il caso resta una rivendicazione non confermata. Check Point Research osserva che, di norma, i leak site elencano le vittime che non hanno pagato: il numero reale di organizzazioni colpite è quindi superiore a quello pubblicato. Se l’incidente fosse confermato, il titolare dovrebbe notificarlo al Garante entro 72 ore dal momento in cui ne viene a conoscenza (art. 33 GDPR) e, in caso di rischio elevato per gli interessati, comunicarlo direttamente ai clienti (art. 34).
