Il backup che credevi al sicuro potrebbe essere il primo bersaglio, non l'ultima difesa.

Il CSIRT Italia lo scrive nero su bianco nel bollettino BL01/260528: da inizio 2026 il gruppo Qilin ha colpito un numero significativo di PMI italiane — inclusi fornitori di servizi cloud — sfruttando vulnerabilità note su apparati Ivanti e Fortinet (con punteggio di gravità 9.8 su 10), oppure entrando via VPN senza autenticazione a più fattori. Una volta dentro, punta agli ambienti VMware ESXi e disattiva i backup Veeam prima di lanciare la cifratura.

Per anni ho detto ai miei clienti: fai il backup e dormi tranquillo. Oggi devo aggiungere una condizione: il backup va isolato, con credenziali separate da quelle della rete aziendale — perché disattivarlo prima della cifratura è esattamente la tattica usata da Qilin.

Il bersaglio non è "chi è ricco", è "chi è esposto". Qilin non seleziona le vittime in base al fatturato, ma alle vulnerabilità esposte su internet: un apparato perimetrale non aggiornato equivale a lasciare una porta d'accesso aperta e documentata.

Il backup non è più un rifugio automatico. Prima di cifrare, gli attaccanti entrano nel sistema di backup e lo disattivano: è come se il ladro, prima di svaligiare casa, disattivasse l'allarme e si portasse via anche le copie di riserva delle chiavi.

La VPN senza MFA è una porta, non un controllo. Se basta una password rubata per entrare, non è sicurezza — è un citofono che si apre a chiunque bussi al momento giusto.

Gli strumenti "legittimi" diventano complici. Software di assistenza remota che magari usi anche tu in azienda (Atera, ScreenConnect, Splashtop) vengono usati dagli attaccanti per muoversi senza dare nell'occhio, come un ladro travestito da corriere.

Il tempo tra l'accesso e il disastro si misura in ore, non in settimane. Non c'è più il lusso del "lo sistemo il mese prossimo".

Il punto vero non è se la tua azienda è un bersaglio interessante — è che oggi lo sono anche i fornitori di servizi cloud, quindi lo può essere chiunque abbia una porta esposta su internet.

In 45 anni ho imparato che i sistemi più a rischio sono spesso quelli "che funzionano da anni e non li tocchiamo" — di solito sono anche quelli con la patch più vecchia.

La mossa, prima che tocchi a te: aggiorna subito gli apparati Ivanti e Fortinet esposti su internet — le vulnerabilità sfruttate hanno già la patch disponibile. Attiva l'MFA su ogni accesso VPN, senza eccezioni "per comodità". E verifica che i backup siano offline o immutabili, non raggiungibili con le stesse credenziali della rete aziendale.

Se vuoi una verifica indipendente di quanto la tua infrastruttura sia esposta a questo tipo di attacco, scrivimi o iscriviti alla newsletter: ogni sabato affronto una scadenza o un rischio diverso, prima che diventi un problema.