Una banda di ransomware russofona ha rivendicato uno dei colpi più ambiziosi degli ultimi mesi, e stavolta i nomi coinvolti pesano parecchio: Shell, Philips, GE e la società di tecnologie finanziarie Fiserv. L’attacco ransomware Cl0p avrebbe toccato, secondo le stime diffuse dal gruppo stesso, quasi cinquanta aziende in tutto il mondo, riportando alla mente lo schema già visto con le violazioni legate a Oracle che hanno tormentato i team di sicurezza aziendale per gran parte dell’anno.
Summary
Punti chiave
- Cl0p rivendica un attacco ransomware su larga scala che coinvolge Shell, Philips, GE e Fiserv, con un totale che secondo il gruppo si avvicina a 50 aziende.
- Da Shell sarebbero stati sottratti circa 89GB di materiale, tra cui disegni tecnici, immagini di impianti e piani di progetto.
- Da Philips il gruppo dichiara di aver preso circa 13,5GB di dati, per lo più diagrammi e progetti.
- L’attacco viene collegato, secondo fonti di sicurezza, a una vulnerabilità zero-day in Oracle E-Business Suite, ma nessuna vittima ha confermato il vettore d’ingresso.
- Shell ha dichiarato di essere a conoscenza di un potenziale incidente, mentre Philips parla di un tentativo di attacco contenuto senza impatti sui clienti.
L’attacco informatico di massa di Cl0p alle grandi multinazionali
Il gruppo Cl0p, legato alla Russia, non è nuovo a operazioni di questa scala. Questa volta la lista delle presunte vittime comprende colossi industriali ed energetici, e la cifra complessiva citata dagli stessi hacker sfiora le cinquanta organizzazioni, anche se al momento resta una dichiarazione non verificata da fonti indipendenti.
Aziende prese di mira e dati sottratti
I numeri diffusi da Cl0p non sono modesti. Da Shell il gruppo dichiara di aver sottratto circa 89GB di materiale, che includerebbe disegni tecnici, immagini di impianti, scansioni di report di test e piani di progetto. Da Philips, invece, la cifra scende a circa 13,5GB, costituiti soprattutto da diagrammi e progetti tecnici. Tra gli altri nomi che circolano nelle segnalazioni ci sono GE e Fiserv, la società attiva nel settore dei pagamenti digitali.
Tecniche d’attacco e strategia di estorsione
A differenza del ransomware “classico”, quello che blocca i file e paralizza i sistemi aziendali, Cl0p adotta da tempo un modello diverso: la violazione dati Shell e gli altri casi rientrano infatti nella categoria dell’estorsione basata sul furto silenzioso di informazioni. Il gruppo sottrae i file senza far rumore, poi fa pressione sulle vittime minacciando di pubblicare tutto su un sito di leak. È un’estorsione che punta sull’imbarazzo pubblico, e finora si è dimostrata piuttosto redditizia per chi la pratica.
Lo schema ricorda molto quanto accaduto nel 2023 con la violazione MOVEit, quando Cl0p riuscì a colpire centinaia di organizzazioni sfruttando un’unica falla in un software di trasferimento file. Le conseguenze si protrassero per mesi, con nuove vittime che continuavano a emergere. Quando Shell, proprio in quell’occasione, rifiutò di negoziare, il gruppo pubblicò comunque i dati sottratti: un precedente che rende la minaccia attuale tutt’altro che vuota retorica.
Sospetta vulnerabilità in Oracle E-Business Suite come vettore d’infezione
Diverse società di sicurezza informatica collegano questa nuova ondata a una falla zero-day individuata in Oracle E-Business Suite, il software aziendale che moltissime grandi imprese utilizzano per gestire finanza, approvvigionamenti e operazioni quotidiane. Si tratta però di un legame riportato da chi indaga sul caso, non confermato dalle aziende coinvolte: né Shell né Philips hanno chiarito come sia avvenuta l’intrusione, quindi va trattata come un’ipotesi solida più che come un fatto accertato.
Se questa pista dovesse confermarsi, la logica dietro l’operazione risulterebbe spietatamente efficiente. Invece di colpire un’azienda alla volta, Cl0p avrebbe individuato un’unica falla in un software condiviso da decine di grandi imprese, raccogliendo così più vittime in un solo colpo. È lo stesso schema che rese la falla zero-day sfruttata durante MOVEit un bottino così prezioso per gli attaccanti.
Risposte aziendali di Shell e Philips
Le aziende coinvolte, dal loro canto, stanno dicendo il minimo indispensabile. Shell ha dichiarato di essere “a conoscenza di un potenziale incidente” e di averlo messo sotto indagine, una formula che non conferma né smentisce la violazione. Philips si è mostrata leggermente più trasparente, descrivendo “un tentativo di attacco informatico su un server aziendale specifico contenente dati interni”, aggiungendo che la situazione è stata “portata sotto controllo” e che non ci sarebbe “alcun impatto sugli ambienti dei clienti”.
Resta da capire se il conteggio complessivo si avvicini davvero a cinquanta aziende colpite, oppure se sia solo una stima gonfiata da Cl0p per fare più pressione sulle vittime e rafforzare la propria reputazione tra i gruppi criminali che potrebbero comprare l’accesso rubato in futuro. Le gang di estorsione digitale non sono note per la loro modestia nel comunicare i risultati delle proprie operazioni.
Conseguenze della campagna Cl0p per la sicurezza aziendale
Quel che dovrebbe preoccupare qualsiasi dirigente non è tanto il numero esatto di vittime, ma la varietà dei settori coinvolti. Un bottino che comprende una major petrolifera, un produttore di dispositivi medici, un conglomerato industriale e una società di pagamenti non è opera di una banda interessata a un prodotto specifico. È il lavoro di chi punta al software che le aziende usano, un obiettivo molto più difficile da difendere rispetto a un singolo bersaglio isolato.
È qui che si nasconde la lezione più scomoda dietro tutta questa vicenda. Quando gran parte del mondo corporate si affida alla stessa piattaforma enterprise, un unico fornitore condiviso diventa silenziosamente il punto debole di tutti, e nessuna spesa interna in sicurezza può davvero rattoppare una falla nel codice di qualcun altro. Per il settore della sicurezza informatica aziendale, questo tipo di attacco informatico aziende conferma che il rischio si sposta sempre più a monte, dentro la catena di fornitura del software, dove un solo bug può trasformarsi in una crisi che coinvolge decine di marchi contemporaneamente.
FAQ
Quali aziende sono state colpite dal recente attacco del gruppo ransomware Cl0p?
Cl0p ha rivendicato di aver colpito Shell, Philips, GE, Fiserv e, secondo le sue stesse dichiarazioni, quasi cinquanta aziende in totale.
Che tipo di dati avrebbe sottratto Cl0p a Shell e Philips?
Secondo le rivendicazioni del gruppo, da Shell sarebbero stati sottratti circa 89GB di dati, tra cui disegni tecnici, immagini e report di test, mentre da Philips circa 13,5GB, per lo più diagrammi e progetti tecnici.
Come funziona il metodo di estorsione usato da Cl0p?
Cl0p utilizza l’estorsione basata sul furto di dati: sottrae silenziosamente i file e poi minaccia di pubblicarli online per fare pressione sulle vittime, invece di bloccare i sistemi con un ransomware tradizionale.
Qual è stata la risposta ufficiale di Shell e Philips agli incidenti?
Shell ha dichiarato di essere a conoscenza di un potenziale incidente ed è in fase di indagine, senza confermare la violazione. Philips ha descritto l’episodio come un tentativo di attacco informatico su un server, portato sotto controllo e senza impatti sui clienti.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
