Il contesto dei feed di ransomware e le prime impressioni
Il 10 ottobre 2026 sul sito di leak del gruppo ransomware Majinahanashi sono comparsi, o ricomparsi, due nomi italiani: HYSYTECH S.r.l., società di ingegneria piemontese che progetta impianti per biometano e idrogeno, e Goccia S.p.A., gruppo di Cocconato (AT) proprietario della catena JOY Gioielli. I tracker automatici hanno rilanciato le schede con la solita liturgia – nome, data, logo, sensazionalismo – lasciando che l’ansia dei lettori alle sette del mattino con il caffè in mano alimentasse le prime supposizioni.
Un dettaglio però passa inosservato nei feed: la scheda di Goccia non è una novità. Era già stata indicizzata da ransomware.live il 12 agosto 2026, con la stessa data di attacco stimata, il 3 agosto. In due mesi non è accaduto nulla di nuovo; il copione è stato semplicemente ripubblicato.
Al contrario, la scheda di HYSYTECH è davvero recente, ma secondo RedPacketSecurity non contiene screenshot, non indica quanti dati sarebbero stati sottratti e non presenta una richiesta di riscatto. Questo contrasto è fondamentale per chi, in qualità di IT manager o responsabile della sicurezza, deve decidere come reagire a un alert senza farsi prendere dal panico.
La fonte di riferimento: The Raven File
L’analisi di riferimento è The Raven File, firmata dal ricercatore indipendente Rakesh Krish, pubblicata il 14 agosto 2026 e aggiornata il 12 ottobre. Il gruppo viene presentato come l’ennesimo gruppo di estorsione a tema giapponese, dopo Yurei, Sinobi e Tengu. Il nome, secondo il ricercatore, unisce “majin” e “ahanashi”, rimandando a storie di spiriti; il bollettino di Broadcom/Symantec lo traduce con “storie di fantasmi”.
Dal punto di vista infrastrutturale, il sito di leak vive su un dominio Tor non vanity, cioè un indirizzo onion lungo e casuale, protetto da un captcha matematico. Dietro c’è nginx e un’applicazione Python/Flask. I dati rubati, quando presenti, stanno su file server separati, con il titolo “MAJINAHANASHI ARCHIVE” in giapponese.
Secondo The Raven File, il primo leak risale al 27 giugno 2026 e ad agosto le vittime elencate erano 15. Ransomware.live, dal canto suo, registra la prima scoperta del gruppo il 12 agosto 2026. Il 2 ottobre il sito è stato rinnovato (oggi si intitola “MAJIN RANSOM”) e sono stati cambiati i file server.
Caratteristiche tecniche del malware
- Due campioni in C/C++ di circa 90 KB ciascuno, data di creazione 2 luglio 2026.
- Cifratura con AES‑256, chiavi dei singoli file protette con RSA.
- Aggiunge l’estensione
.MAJINai file cifrati. - Usa il mutex
Global\majinahanashi_Mutexe installa un servizio chiamatomajinSvc. - Prima di cifrare cancella le shadow copy, interviene sulle impostazioni di avvio con
bcdedit, svuota i log e il journal USN. - Utilizza il Windows Filtering Platform per silenziare gli agenti EDR.
- La nota di riscatto è un
README.txtcon contattiqTOXeProton, come documentato da PCRisk.
Il giudizio di The Raven File è sobrio: una famiglia di ransomware di fascia media, senza crittografia innovativa né tecniche di anti‑analisi sofisticate. Non è una minaccia da sottovalutare, perché la cancellazione dei backup e l’accecamento dell’EDR colpiscono chi non ha una difesa a strati, ma non è nemmeno il mostro che il nome suggerisce.
Le indicizzazioni di Goccia: una ripubblicazione ingannevole
Ransomware.live indicizza Goccia per la prima volta il 12 agosto 2026 alle 14:47 UTC, con attacco stimato al 3 agosto. Breachsense la registra come “JOY Gioielli” il 13 agosto, con dimensione del leak sconosciuta. La seconda indicizzazione arriva il 10 ottobre alle 20:43 UTC, con la stessa data di attacco stimata. Due mesi, stesso attacco, stessa scheda, nuova data di scoperta.
Il testo attribuito al gruppo, riportato da GalaxyWarden, cita i siti dell’azienda, un fatturato di 19,2 milioni di euro e un leak di 3 557 file. Sono numeri dichiarati dal gruppo, non verificati: nessuna fonte indipendente li conferma. GalaxyWarden aggiunge che l’azienda non ha confermato pubblicamente alcuna violazione o sottrazione di dati.
Per inquadrare l’azienda con fonti ufficiali: Goccia S.p.A. ha sede legale a Cocconato (AT), fondata nel 1989 da Giuseppe Conrotto. Il format Joy Gioielli nasce nel 2008 e l’e‑commerce nel 2020. Secondo il profilo LinkedIn ha 18 punti vendita tra le insegne Joy Gioielli, Pietra Gioielli e Pandora e circa 130 dipendenti. La descrizione “Gruppo gioielliero proprietario della catena JOY Gioielli” è corretta; le enfasi alla “major Italian jewelry corporation” sono un’aggiunta del tracker.
La scheda di HYSYTECH: un caso di data di post confusa
La scheda di HYSYTECH è stata scoperta da ransomware.live il 10 ottobre alle 20:38 UTC, con attacco stimato al 2 ottobre. HackNotice ha una voce datata 9 ottobre. Qui il punto chiave lo mette nero su bianco RedPacketSecurity: il 2 ottobre è la data del post, perché non viene fornita una data di compromissione separata. Il post non descrive né il tipo né il volume dei dati che sarebbero stati ottenuti e non contiene screenshot o altre immagini.
In altre parole, la “data di attacco stimata” di molti feed non è una data di attacco: è la data in cui un criminale ha scritto un post. Chi costruisce una timeline di incidente su quel campo sta datando un annuncio, non una compromissione.
Il bollettino di Telsy sull’Italia elenca Hysytech tra le rivendicazioni di Majinahanashi insieme ad altre quattro realtà italiane, ma si limita a elencarle senza fornire dettagli tecnici o temporali.
Riguardo l’azienda: HYSYTECH è una società di ingegneria fondata nel 2003 a Torino, attiva nella progettazione di impianti per biometano, bio‑GNL e idrogeno, con la tecnologia H2GENIO. Nel 2014, con Acea Pinerolese Industriale, ha realizzato il primo impianto italiano di upgrading del biogas da frazione organica dei rifiuti urbani; nel 2020 ha messo in servizio il primo impianto di idrogeno verde da biogas da FORSU, come riportano i suoi comunicati e la stampa di settore.
Effetti delle ripubblicazioni sui dati statistici
Il 10 ottobre 2026 ransomware.live registra come “scoperto” un intero blocco di vittime Majinahanashi, con attacchi stimati tra il 27 giugno e il 29 agosto. Molte di quelle schede erano già state indicizzate ad agosto. Ecco alcuni esempi tratti dal registro del tracker:
- Vittima A – indicizzata 12 agosto, ripubblicata 10 ottobre.
- Vittima B – indicizzata 15 agosto, ripubblicata 10 ottobre.
- Vittima C – indicizzata 20 agosto, ripubblicata 10 ottobre.
Il blocco arriva otto giorni dopo il rebranding del sito di leak del 2 ottobre, e l’effetto è misurabile: il ritardo medio tra attacco e pubblicazione, calcolato da ransomware.live, è passato da 28,9 giorni (profilo di inizio settembre) a 68,8 giorni (profilo di ottobre). Il risultato è un gruppo che sembra molto attivo il 10 ottobre, mentre gran parte di quel “lavoro” risale all’estate.
Serve onestà intellettuale: non è dimostrato che il gruppo abbia voluto presentare queste schede come fresche. Parte del fenomeno può dipendere dal tracker, che ri‑indicizza i post quando un sito cambia struttura o indirizzo. L’effetto per chi legge, però, è identico: vede “10 ottobre” e pensa a un attacco di questa settimana. Il caso HYSYTECH, invece, è diverso, perché il post del 2 ottobre è realmente recente.
Implicazioni per la gestione degli alert e la comunicazione
Per chi gestisce la sicurezza di una PMI, la lezione è chiara: non basare la risposta su un semplice annuncio online. Gli estremi sbagliati sono due: “siamo stati violati, è scritto su internet” e “è tutta fuffa, non ci preoccupiamo”. La verità professionale sta nel mezzo, ed è molto meno telegenica.
Un approccio corretto prevede:
- Verificare la presenza di prove concrete (screenshot, hash, indicatori di compromissione).
- Controllare le fonti indipendenti (report di security vendor, comunicati aziendali).
- Distinguere la data di pubblicazione dal possibile momento di compromissione.
- Valutare l’impatto reale: volume dei dati rubati, tipologia di informazioni, presenza di backup.
- Attivare un piano di risposta che includa analisi forense, comunicazione interna ed esterna, e valutazione della necessità di pagare o meno.
Solo con questi passaggi è possibile evitare decisioni affrettate, comunicati frettolosi o, al contrario, una completa indifferenza di fronte a un reale rischio.
Conclusioni
Le schede di HYSYTECH e Goccia mostrano quanto una data di scoperta, un post privo di prove o una scheda ripubblicata possano deformare la percezione di un incidente e orientare male le prime decisioni. Il gruppo Majinahanashi, sebbene si presenti con un nome da horror giapponese, utilizza tecniche di ransomware di fascia media, non rivoluzionarie ma sufficienti a colpire organizzazioni senza difesa a strati.
La chiave è mantenere una onestà intellettuale e una analisi basata sui fatti, piuttosto che sul sensazionalismo dei feed. Solo così le aziende potranno reagire in modo proporzionato, proteggendo i dati e la reputazione senza cadere nella trappola del panico o dell’indifferenza.