Panzer, il nuovo ransomware-as-a-service che ha già colpito due aziende italiane

Emerso ad agosto 2026, Panzer unisce un programma di affiliazione già maturo, payload per Windows, Linux, ESXi e FreeBSD e doppia estorsione. Tra le prime vittime rivendicate figurano Doimo Cucine e NTE Italia.

Un esordio rapido e strutturato

Nel panorama ransomware la comparsa di una nuova sigla non è, di per sé, una notizia: il ricambio è continuo e molti operatori scompaiono nel giro di poche settimane. Panzer merita attenzione per un motivo diverso: la rapidità con cui ha messo in piedi una piattaforma completa. Secondo il profilo pubblicato il 4 settembre 2026 dalla società di threat intelligence CyberXtron, il leak site del gruppo sulla rete Tor è attivo dal 5 agosto, data della prima osservazione, e in un mese ha pubblicato 16 vittime in almeno 11 Paesi.

La distribuzione geografica non ha un baricentro: tre vittime in Thailandia, due in Italia, due in Indonesia, due in Serbia e una sola in ognuno degli altri Paesi colpiti, cioè Curaçao, Corea del Sud, Spagna, Repubblica Ceca, Germania, Nigeria e Svizzera. Anche i settori sono eterogenei: la tecnologia è in testa con quattro casi, seguita dalla manifattura con tre; poi governo e difesa, agroalimentare, energia e utility, istruzione e retail. È il profilo tipico di una campagna opportunistica, guidata dagli accessi che gli affiliati riescono a procurarsi e non da una scelta mirata di Paesi o settori.

Il conteggio, peraltro, è già superato. Tre tracker indipendenti, SOCRadar, Ransomware.live e l’italiano Ransomfeed, concordano su 19 vittime al 6 settembre. Le ultime due rivendicazioni, del 3 e del 4 settembre, riguardano un ente pubblico indonesiano e un’università tedesca; dopo le 17 rivendicazioni di agosto il ritmo è rallentato, ma il gruppo resta attivo.

Sul numero di Paesi colpiti, invece, i tracker divergono: Ransomware.live ne conta 11, SOCRadar 16, e negli elenchi compaiono Portogallo, Francia e Cipro, assenti dal censimento di CyberXtron. Le differenze dipendono dai criteri di attribuzione geografica, e una stessa vittima può essere attribuita a Paesi diversi a seconda della piattaforma: il gruppo orologiero Festina, per esempio, è registrato in Spagna da Ransomfeed e in Svizzera da SOCRadar. È un’avvertenza da tenere presente ogni volta che si citano questi numeri. SOCRadar indica inoltre la Russia come Paese di origine del gruppo: un’attribuzione coerente con il divieto di colpire i Paesi della CSI, ma non confermata da altre fonti.

Le vittime italiane

Le due organizzazioni italiane sono censite, con dati coincidenti, sia da Ransomware.live sia da Ransomfeed. La prima è Doimo Cucine, produttore di cucine di design con sede a Nervesa della Battaglia, in provincia di Treviso: la rivendicazione è stata rilevata il 17 agosto e, secondo la scheda di Ransomware.live, il gruppo dichiara di aver esfiltrato 30 GB di dati. La seconda è NTE Italia, società di servizi tecnici e di ingegneria per le telecomunicazioni e la sicurezza dei cantieri, con sede a Catanzaro e uffici a Roma e Catania: è comparsa sul leak site il 21 agosto e il gruppo afferma di aver sottratto 16 GB di dati, descritti come migliaia di documenti sensibili.

Una pubblicazione su un leak site resta una rivendicazione dell’attaccante, non una prova. Nessuna delle due aziende ha confermato pubblicamente l’incidente, e le rivendicazioni di un gruppo appena emerso, privo di uno storico verificabile, vanno trattate con particolare cautela fino a verifica indipendente. La comparsa di due vittime italiane in pochi giorni richiama una dinamica ricorrente nei RaaS di recente formazione: concentrare più bersagli in un breve intervallo per costruire credibilità presso i potenziali affiliati.

Come funziona il programma di affiliazione

Il tratto più interessante di Panzer non è il malware, di cui si sa ancora poco, ma l’infrastruttura commerciale. L’operazione si presenta come un RaaS semi-aperto: gli aspiranti affiliati presentano domanda tramite un canale Tox e ottengono l’accesso al pannello di controllo solo dopo una selezione. La ripartizione dei proventi è 80/20 a favore dell’affiliato, con la quota della piattaforma trattenuta automaticamente su ogni pagamento. Le regole vietano di colpire organizzazioni nei Paesi della CSI e soggetti coinvolti in abusi su minori; gli account inattivi per più di una settimana vengono disattivati.

Il pannello di controllo descritto da CyberXtron è quello di un servizio già rodato. Comprende il monitoraggio del saldo e delle transazioni, la gestione delle build per le diverse piattaforme, con una chat di negoziazione dedicata a ogni vittima e un generatore integrato di fatture in Bitcoin, un sistema di ticket di assistenza e sotto-account per i team. La pubblicazione dei leak segue un flusso con approvazione preventiva degli operatori, conto alla rovescia e possibilità di mettere in evidenza i casi ritenuti più redditizi. Gli operatori dichiarano inoltre di sottoporre i nuovi affiliati a un monitoraggio automatico durante il primo mese, per individuare ricercatori o forze dell’ordine infiltrati.

Un investimento di questo tipo in strumenti per il reclutamento, i pagamenti e l’autotutela indica un progetto pensato per crescere attraverso operatori esterni, non un gruppo chiuso che conduce in proprio le intrusioni. È la logica del ransomware human-operated portata alle estreme conseguenze: la piattaforma fornisce strumenti e infrastruttura, gli affiliati eseguono le intrusioni. Alcuni osservatori accostano il modello a quello di VanHelsing e di altri RaaS emersi negli ultimi anni.

Cosa si sa, e cosa non si sa, delle tecniche

Sul piano tecnico il quadro è frammentario e il vettore di accesso iniziale non è stato verificato in modo indipendente. Le attività che CyberXtron associa al gruppo, con confidenza medio-bassa, comprendono il dumping delle credenziali del sistema operativo, attacchi di forza bruta, la ricognizione dei servizi di rete, il movimento laterale tramite servizi remoti e account validi, la raccolta di dati dal sistema locale, l’esfiltrazione su protocolli alternativi e la disabilitazione o manomissione degli strumenti di sicurezza. La mappatura di SOCRadar, in parte diversa, aggiunge l’esecuzione tramite interprete di comandi, la persistenza all’avvio e l’inibizione del ripristino di sistema, tecnica che prende di mira le copie shadow e i meccanismi di recupero.

Non esistono al momento indicatori di compromissione confermati, siano essi hash, indirizzi IP, domini o campioni di malware: gli unici indicatori pubblici riguardano l’infrastruttura del leak site e il canale di reclutamento. Ciò che invece dichiarano gli stessi operatori è la copertura dei payload: build per Windows, Linux, VMware ESXi e FreeBSD, con oltre quindici comandi personalizzabili, funzioni anti-rilevamento e un pannello di avvio con monitoraggio in tempo reale dell’operazione. Lo schema è quello della doppia estorsione: i dati vengono esfiltrati prima della cifratura e alcuni campioni finiscono sul leak site come prova.

Perché è rilevante per le organizzazioni italiane

Due caratteristiche rendono Panzer una minaccia concreta per il tessuto produttivo nazionale, al di là dei due casi già noti.

La prima è il supporto a ESXi. Gran parte delle medie e grandi imprese italiane concentra i propri carichi di lavoro su infrastrutture virtualizzate: compromettere un hypervisor significa cifrare in un’unica operazione decine di macchine virtuali e i servizi che vi girano, con tempi di ripristino ben più lunghi rispetto a un attacco limitato agli endpoint Windows. Le build per Linux e FreeBSD allargano ulteriormente la superficie esposta negli ambienti con parchi server misti. Non è un rischio teorico: il CSIRT Italia, nel bollettino dedicato a Qilin, ha già segnalato l’uso di tecniche mirate agli ambienti VMware ESXi da parte di un gruppo il cui impatto sistemico sul Paese è classificato come critico.

La seconda è la doppia estorsione. Backup solidi e testati restano indispensabili per la continuità operativa, ma non neutralizzano il rischio legato alla pubblicazione dei dati sottratti, con le conseguenze reputazionali, contrattuali e regolamentari che ne derivano, comprese le notifiche previste dal GDPR e, per i soggetti che rientrano nel suo ambito di applicazione, dalla NIS2.

Il contesto aggrava il quadro. Secondo Ransomfeed, al 6 settembre le rivendicazioni contro organizzazioni italiane nel 2026 sono già 212, contro le 169 dell’intero 2025, su un totale storico di 850. Nella sola settimana tra il 6 e il 13 agosto, secondo una ricostruzione ripresa anche da Bismark.it, otto gruppi diversi hanno rivendicato 15 vittime italiane. Panzer si inserisce in una fase in cui gli attaccanti puntano soprattutto sulla manifattura, già segnalata dall’ACN come bersaglio privilegiato nei distretti industriali del Nord, e sui fornitori di servizi tecnologici e di telecomunicazione: ne sono esempi NTE Italia e Retelit, quest’ultima colpita da Qilin a fine luglio.

Le priorità difensive

Le raccomandazioni pubblicate da CyberXtron coincidono con le buone pratiche già consolidate contro il ransomware, ma alcune assumono un peso particolare alla luce delle caratteristiche di Panzer.

Sul fronte delle identità, la priorità è l’autenticazione a più fattori resistente al phishing su tutti gli accessi remoti, le VPN e gli account privilegiati, unita al principio del minimo privilegio e a una revisione periodica degli account amministrativi: le tecniche associate al gruppo ruotano intorno al furto e all’abuso di credenziali valide. Sul fronte architetturale, la segmentazione deve isolare dalle reti utente i controller di dominio, i sistemi di backup e, soprattutto, l’interfaccia di gestione degli hypervisor, confinando i protocolli di amministrazione remota in segmenti dedicati e monitorati.

Contro la doppia estorsione servono controlli sul traffico in uscita e il rilevamento dei trasferimenti anomali di dati: l’esfiltrazione precede la cifratura ed è la finestra più utile per intercettare l’attacco. I backup devono essere immutabili, con almeno una copia offline, isolata dalla rete, e test di ripristino regolari che verifichino l’integrità dei punti di ripristino. Il piano di risposta agli incidenti, infine, dovrebbe prevedere esplicitamente lo scenario di esposizione dei dati, con i flussi legali, regolamentari e di comunicazione pronti prima che una rivendicazione compaia online.

Panzer è ancora in fase di espansione e il suo profilo tecnico potrebbe cambiare rapidamente man mano che nuovi affiliati introducono metodi propri. Proprio per questo va trattato come una minaccia credibile e trasversale, non come un fenomeno di nicchia.