Berlino rifiuta il ricatto cyber: McKesson sotto attacco e IPTV in tribunale

🛡️ Executive Summary

• Berlino conferma furti di dati dalla rete statale e rifiuta qualsiasi pagamento agli estorsori, senza attribuire ufficialmente l’attacco a Rhysida.
• McKesson indaga su un incidente cyber; ShinyHunters rivendica milioni di record sanitari, ma numeri e modalità dell’attacco restano non verificati.
• Nel Regno Unito un uomo di 68 anni riceve 6,5 anni di carcere per una rete IPTV illegale da quasi un milione di sterline.

Tre casi diversi mostrano quanto il cybercrime continui a monetizzare infrastrutture, dati e contenuti attraverso modelli criminali ormai industrializzati. Berlino ha confermato l’esfiltrazione di dati dalla propria rete amministrativa e ha escluso categoricamente il pagamento di qualsiasi richiesta estorsiva. Negli Stati Uniti, McKesson ha comunicato un incidente informatico mentre ShinyHunters sostiene di aver sottratto una quantità enorme di dati sanitari. Nel Regno Unito, invece, una rete IPTV pirata da quasi un milione di sterline ha portato a una condanna di sei anni e mezzo. Il filo comune è lo stesso osservato nei casi in cui aziende colpite da ransomware hanno scelto di non cedere al pagamento nonostante la minaccia di pubblicazione dei dati: il profitto criminale nasce ormai da estorsione, vendita di accessi e sfruttamento diretto delle infrastrutture digitali.

Berlino conferma il furto di dati e rifiuta qualsiasi pagamento

Il governo del Land di Berlino ha dichiarato ufficialmente che la città è oggetto di un tentativo di estorsione dopo il grave incidente che ha interessato la rete amministrativa statale nel mese di agosto. In una nota pubblicata il 28 agosto, il sindaco Kai Wegner e la senatrice dell’Interno Iris Spranger hanno affermato che Berlino “non si lascia ricattare”, confermando contemporaneamente ulteriori esfiltrazioni dal Dipartimento per mobilità, trasporti, clima e ambiente. Le analisi forensi indicano che i dati sono usciti dalla rete tra il 7 e il 12 agosto, prima dell’isolamento dei sistemi effettuato il 14 agosto. Le autorità non hanno ancora stabilito con precisione quantità e tipologia dei file sottratti e non escludono la presenza di dati personali o informazioni non pubbliche. Il modello ricorda altri incidenti nei quali la scomparsa o la vendita di dataset dai leak site non ha permesso di stabilire se un riscatto fosse stato effettivamente pagato, dimostrando quanto sia difficile ricostruire dall’esterno la dinamica economica di una moderna estorsione cyber.

Rhysida rivendica 5,79 TB ma Berlino non conferma né gruppo né quantità

L’attribuzione a Rhysida resta al momento una rivendicazione criminale e non una conclusione ufficiale delle autorità tedesche. Il gruppo ha inserito Berlino sul proprio leak site sostenendo di avere a disposizione circa 5,79 TB distribuiti su 1,44 milioni di file, con riferimenti a contratti, email, password, numeri telefonici, mappe e informazioni personali. Il governo berlinese non ha però confermato né questi numeri né l’identità degli attaccanti, mentre polizia criminale, procura e autorità federali stanno ancora conducendo le indagini. La distinzione è essenziale perché i leak site costituiscono contemporaneamente strumento di pressione, marketing criminale e canale di vendita, quindi quantità e categorie dichiarate non possono essere considerate automaticamente dati forensi. Rhysida resta comunque un gruppo già noto per campagne di doppia estorsione contro enti pubblici e organizzazioni sensibili, inserendosi nello stesso mercato che ha visto gruppi criminali usare la pubblicazione di dati come leva dopo il rifiuto del riscatto. Berlino ha inoltre precisato che, allo stato attuale delle verifiche, i sistemi rilevanti per le elezioni del 20 settembre non risultano compromessi.

Leggi anche: Gli incidenti contro sanità, porti e supply chain mostrano come il furto di dati moltiplichi l’impatto oltre la singola organizzazione

McKesson conferma l’incidente ma non i 284 milioni di record rivendicati

Negli Stati Uniti il gigante della distribuzione farmaceutica McKesson ha comunicato di aver scoperto il 25 agosto 2026 un incidente di cybersecurity che interessa i propri sistemi informativi. Nel documento trasmesso al mercato, l’azienda spiega che l’indagine è ancora nelle fasi iniziali e che non ha finora stabilito un impatto materiale sui risultati finanziari o sull’operatività complessiva. Le informazioni pubbliche non confermano il volume dei dati sottratti, il numero dei pazienti interessati o il vettore utilizzato dagli aggressori. ShinyHunters sostiene invece di aver ottenuto accesso a dati collegati a sistemi di terze parti e rivendica un dataset enorme, descritto come composto da 284 milioni di record. Questi numeri restano una dichiarazione degli attaccanti e non risultano validati da McKesson. Il rischio potenziale è tuttavia elevato perché, come mostrato nei recenti breach sanitari statunitensi con milioni di identità e informazioni cliniche coinvolte, la combinazione di dati personali, assicurativi e sanitari produce materiale estremamente utile per frodi, impersonificazione e campagne successive di social engineering.

ShinyHunters continua a spostare l’estorsione sulle piattaforme enterprise

La rivendicazione McKesson si inserisce in una fase nella quale ShinyHunters ha progressivamente spostato l’attenzione verso piattaforme SaaS, sistemi di identità e grandi database aziendali, privilegiando il furto dei dati rispetto alla semplice cifratura delle infrastrutture. Il gruppo ha già colpito organizzazioni sanitarie, università, aziende e ambienti enterprise sfruttando account compromessi, applicazioni cloud e sistemi utilizzati per centralizzare grandi quantità di informazioni. Questa traiettoria era emersa chiaramente con l’offensiva contro Oracle PeopleSoft e altre piattaforme enterprise utilizzate per gestire dati personali su larga scala. Nel caso McKesson, le ricostruzioni attribuite agli attaccanti parlano di accessi attraverso identità aziendali e ambienti cloud, ma questi dettagli devono restare classificati come claim non verificati finché l’azienda o gli investigatori non pubblicheranno risultati forensi. Il valore del bersaglio è comunque evidente: McKesson opera al centro della distribuzione farmaceutica e dei servizi sanitari, quindi anche un incidente limitato a sistemi periferici può coinvolgere grandi quantità di informazioni collegate a pazienti, fornitori e organizzazioni mediche.

La rete IPTV britannica generava quasi un milione di sterline

Il terzo caso riguarda un modello criminale completamente diverso ma altrettanto strutturato. La City of London Police ha confermato la condanna di Milan Ibrahim, 68 anni, a sei anni e mezzo di carcere per avere gestito un servizio IPTV illegale capace di produrre 980.812 sterline in tre anni. L’operazione utilizzava circa 80 server situati a Chorley e ritrasmetteva illegalmente contenuti appartenenti a BBC, ITV, Sky, Premier League e Motion Picture Association verso clienti britannici e utenti residenti all’estero. La Police Intellectual Property Crime Unit ha sequestrato i server e interrotto migliaia di stream, mentre il procedimento proseguirà anche sotto il Proceeds of Crime Act per recuperare i profitti generati dall’attività. Il caso conferma quanto già emerso nella maxi-operazione europea che aveva smantellato nove reti organizzate di streaming illegale: la pirateria IPTV non funziona più come semplice condivisione artigianale di flussi, ma come infrastruttura commerciale completa con server, clienti, abbonamenti e ricavi ricorrenti.

L’IPTV pirata viene trattata sempre più come impresa criminale

La sentenza britannica mostra anche un cambiamento nell’approccio investigativo. Le autorità non si limitano più a oscurare domini o interrompere i flussi, ma ricostruiscono infrastruttura tecnica, ricavi, server, responsabilità individuali e patrimonio accumulato, trattando i gestori come operatori economici criminali. È una logica che si avvicina a quella utilizzata nelle operazioni contro marketplace underground, botnet e servizi criminali professionali: interrompere il servizio non basta se gli amministratori possono riaprire rapidamente con nuove infrastrutture. Anche in Europa la pressione giudiziaria sulla pirateria audiovisiva si è intensificata, come dimostrano gli interventi contro reti di streaming illegale legate ai grandi eventi sportivi e alle infrastrutture di distribuzione. Nel caso Ibrahim, il targeting degli espatriati britannici all’estero dimostra inoltre come i servizi IPTV illegali cerchino segmenti di mercato ben definiti, replicando strategie commerciali dei provider legittimi ma senza sostenere costi di licenza e distribuzione.

Continua con:

• ShinyHunters colpisce la sanità e il suo nome viene sfruttato anche nelle false sextortion
• ShinyHunters colpisce Council of Europe e scuole USA mentre Oxford conferma un nuovo data breach

Tre modelli criminali diversi convergono sullo stesso obiettivo: monetizzare

Berlino, McKesson e il caso IPTV britannico appartengono a mondi apparentemente distanti, ma mostrano la stessa evoluzione economica del crimine digitale. Rhysida monetizza il possesso dei dati attraverso la pressione sulla vittima e la minaccia di pubblicazione; ShinyHunters trasforma grandi dataset aziendali in leva estorsiva; le reti IPTV costruiscono invece ricavi ricorrenti vendendo accesso illegale a contenuti protetti. È una specializzazione che rende sempre meno utile considerare il cybercrime soltanto come una sequenza di attacchi tecnici. Dietro le intrusioni esistono modelli di business, infrastrutture, mercati, clienti e strategie di monetizzazione, una trasformazione evidente anche nei casi recenti in cui furto di dati, recovery fraudolento e seconde estorsioni vengono combinati nella stessa economia criminale. La risposta delle autorità segue la stessa evoluzione: rifiuto dei riscatti, indagini forensi, arresti, sequestri e recupero dei proventi stanno diventando parti dello stesso contrasto a un mercato illegale sempre più strutturato.