Un nuovo gruppo ransomware-as-a-service ha messo piede in Italia a meno di un mese dal proprio debutto. Si chiama Panzer, opera con un modello ad affiliazione già maturo e ha rivendicato due vittime italiane nello spazio di quattro giorni: Doimo Cucine, storico produttore di cucine di Treviso, e NTE Italia, società di ingegneria delle telecomunicazioni di Catanzaro. Il caso arriva mentre le aziende italiane si preparano agli obblighi di notifica previsti dalla direttiva NIS2 e mostra quanto in fretta un gruppo criminale possa passare dal lancio del proprio leak site a un attacco funzionante contro obiettivi europei.
Cos’è Panzer: il nuovo gruppo ransomware-as-a-service
Panzer è comparso online il 5 agosto 2026, con un sito di leak pubblico e un programma di affiliazione già operativo fin dal primo giorno, secondo l’analisi tecnica pubblicata da CyberPress. Non è la classica costola di un gruppo esistente che cambia nome dopo un takedown delle forze dell’ordine. I ricercatori non hanno trovato, al momento, prove di un codice derivato da famiglie ransomware note come LockBit o Hive. Panzer si presenta come un’operazione autonoma, con payload propri per più sistemi operativi e un’infrastruttura di affiliazione pensata per scalare rapidamente il numero di vittime.
Il dettaglio che ha attirato l’attenzione degli analisti italiani è la copertura multipiattaforma. Secondo ICT Security Magazine, Panzer dispone di payload per Windows, Linux, VMware ESXi e FreeBSD, oltre a un modello di doppia estorsione: cifratura dei sistemi più esfiltrazione dei dati, con minaccia di pubblicazione sul leak site in caso di mancato pagamento. La combinazione di ESXi e doppia estorsione non è una novità nel panorama ransomware, ma la velocità con cui il gruppo l’ha resa operativa fin dal lancio segnala un livello di preparazione tecnica superiore alla media delle nuove sigle RaaS.
Non ci sono, a oggi, informazioni pubbliche verificate sugli algoritmi di cifratura utilizzati né sul testo esatto delle richieste di riscatto. Le fonti consultate, tra cui Dexpose, descrivono avvisi di estorsione pubblicati sul leak site ma non riportano cifre in euro o dollari relative ai pagamenti richiesti alle vittime italiane. Chi scrive di Panzer in questa fase deve muoversi con cautela: molti dettagli tecnici restano coperti, e le rivendicazioni pubblicate sul leak site sono affermazioni dell’attaccante, non conferme delle aziende colpite.
Cronologia dell’attacco: dal debutto di agosto alle vittime italiane
La sequenza temporale ricostruita dalle piattaforme di monitoraggio ransomware è compatta. Panzer apre il proprio leak site il 5 agosto 2026. Nel giro di dodici giorni pubblica la prima rivendicazione italiana, contro Doimo Cucine, il 17 agosto. Quattro giorni dopo, il 21 agosto, tocca a NTE Italia. In meno di tre settimane il gruppo passa quindi da zero a due vittime italiane, un ritmo che colloca l’Italia tra i primi cinque paesi toccati dalla nuova sigla nel suo mese di debutto.
Questa rapidità è coerente con il modello di business RaaS: gli operatori centrali forniscono il payload, l’infrastruttura di leak e gli strumenti di negoziazione, mentre gli affiliati si occupano dell’accesso iniziale alle reti bersaglio e della propagazione laterale. Più affiliati si uniscono al programma nelle prime settimane, più rapidamente cresce il numero di vittime rivendicate, indipendentemente dalla qualità tecnica del malware stesso. È un pattern già visto con altre sigle emergenti, dove il vero collo di bottiglia non è lo sviluppo del ransomware ma il reclutamento di affiliati capaci di violare reti aziendali.
Doimo Cucine: l’attacco al colosso del mobile di Treviso
Doimo Cucine è un produttore di cucine componibili con sede a Treviso, in Veneto, attivo da decenni nel distretto del mobile che rende la regione uno dei poli manifatturieri più densi d’Europa. Secondo la scheda pubblicata da Ransomware.live, la piattaforma indipendente che aggrega i leak site dei gruppi ransomware attivi nel mondo, Panzer ha inserito l’azienda tra le proprie vittime il 17 agosto 2026, dichiarando l’esfiltrazione di circa 30 GB di dati dal dominio doimocucine.com.
Al momento della pubblicazione di questo articolo, Doimo Cucine non ha diffuso una conferma pubblica dell’incidente, un comportamento comune tra le aziende manifatturiere italiane colpite da ransomware, spesso più caute nel comunicare rispetto a operatori di settori regolamentati come telecomunicazioni o sanità. La mancanza di conferma ufficiale non equivale a smentita: significa solo che la rivendicazione resta, per ora, un’affermazione unilaterale dell’attaccante, verificabile solo attraverso un’eventuale pubblicazione dei dati o una comunicazione ufficiale dell’azienda.
NTE Italia: ingegneria delle telecomunicazioni nel mirino a Catanzaro
La seconda vittima italiana rivendicata da Panzer è NTE Italia, società calabrese specializzata in ingegneria e servizi per le telecomunicazioni, con sede a Catanzaro. Il gruppo ha inserito l’azienda sul proprio leak site il 21 agosto 2026, dichiarando l’esfiltrazione di circa 16 GB di documenti. La notizia è stata ripresa anche dal feed di intelligence FalconFeeds.io, che monitora in tempo reale le pubblicazioni sui leak site dei principali gruppi ransomware.
Il settore delle telecomunicazioni è particolarmente sensibile perché le aziende di ingegneria come NTE Italia lavorano spesso come fornitori terzi per operatori più grandi, gestendo progettazione di rete, documentazione tecnica e a volte accessi privilegiati a infrastrutture cliente. Un’esfiltrazione da un fornitore di questo tipo può quindi avere ricadute che vanno oltre l’azienda colpita direttamente, in un classico scenario di rischio a catena che gli assicuratori cyber europei osservano con crescente attenzione quando calcolano i premi per il settore ICT.
Le vittime italiane confermate da Panzer
La tabella seguente riassume i dati pubblicamente disponibili sulle due rivendicazioni italiane, così come riportati dalle piattaforme di tracciamento ransomware consultate per questo articolo.
| Azienda | Settore | Sede | Data listing | Dati dichiarati |
|---|---|---|---|---|
| Doimo Cucine | Produzione mobili/cucine | Treviso (Veneto) | 17 agosto 2026 | ~30 GB |
| NTE Italia | Ingegneria telecomunicazioni | Catanzaro (Calabria) | 21 agosto 2026 | ~16 GB |
Nessuna delle due aziende ha confermato pubblicamente l’incidente al momento della stesura di questo articolo. I volumi di dati indicati provengono dalle dichiarazioni del gruppo sul proprio leak site e non da verifiche indipendenti condotte da terze parti sui file effettivamente sottratti.
Distribuzione geografica: l’Italia tra i primi bersagli globali
Nel suo primo mese di attività, Panzer ha rivendicato tra le 16 e le 19 vittime distribuite in 11 paesi, secondo la ricostruzione di CyberPress. ICT Security Magazine ha pubblicato un dettaglio della distribuzione per paese, con la Thailandia in testa con tre vittime, seguita da Italia, Indonesia e Serbia con due ciascuna, e un gruppo di paesi con una singola vittima rivendicata: Curaçao, Corea del Sud, Spagna, Repubblica Ceca, Germania, Nigeria e Svizzera.
| Paese | Vittime rivendicate (primo mese) |
|---|---|
| Thailandia | 3 |
| Italia | 2 |
| Indonesia | 2 |
| Serbia | 2 |
| Curaçao | 1 |
| Corea del Sud | 1 |
| Spagna | 1 |
| Repubblica Ceca | 1 |
| Germania | 1 |
| Nigeria | 1 |
| Svizzera | 1 |
Con due vittime su un totale di circa diciassette rivendicazioni globali, l’Italia rappresenta oltre l’11% del volume di attacchi che Panzer ha reso pubblici nel primo mese. È una quota alta per un paese che non compare tradizionalmente tra i primissimi bersagli dei gruppi RaaS di debutto, spesso più concentrati su Nord America e Regno Unito nelle fasi iniziali. La presenza di due paesi europei, Italia e Germania, insieme alla Svizzera, suggerisce che gli affiliati che hanno aderito al programma nelle prime settimane avessero già accesso a reti aziendali europee prima ancora del lancio ufficiale del gruppo.
Come opera Panzer: affiliazione, ESXi e doppia estorsione
Il modello RaaS di Panzer segue lo schema ormai consolidato nel settore: gli sviluppatori del ransomware mantengono il codice, l’infrastruttura di pagamento e il leak site, mentre gli affiliati guadagnano una percentuale del riscatto in cambio dell’accesso iniziale e della distribuzione del payload. Quello che distingue Panzer da molte sigle nate nel 2026 è la disponibilità immediata di payload per quattro sistemi operativi diversi, inclusa una variante per FreeBSD, meno comune rispetto ai soliti target Windows e Linux.
Il supporto per VMware ESXi merita un approfondimento a parte. Gli hypervisor ESXi ospitano spesso decine di macchine virtuali su un singolo host fisico: cifrare il livello di virtualizzazione, invece delle singole VM, permette a un attaccante di bloccare in un colpo solo l’intera infrastruttura server di un’azienda, comprese le macchine di backup se non adeguatamente isolate. Questa tecnica è diventata lo standard de facto tra i gruppi ransomware più efficaci degli ultimi tre anni, e il fatto che una sigla debuttante come Panzer la includa fin dal lancio conferma quanto rapidamente le tecniche offensive si diffondano nell’ecosistema criminale.
Sul fronte della doppia estorsione, il meccanismo resta quello classico: prima dell’attivazione della cifratura, gli affiliati esfiltrano i dati più sensibili verso server sotto il controllo del gruppo. Se la vittima rifiuta di pagare, i file vengono pubblicati sul leak site, spesso in porzioni progressive per aumentare la pressione negoziale. Per Doimo Cucine e NTE Italia questa fase resta, al momento, allo stadio di minaccia: nessuna delle due aziende risulta aver avuto dati pubblicati integralmente, il che potrebbe indicare trattative in corso oppure semplicemente un leak site ancora in fase di aggiornamento.
Panzer nel contesto del ransomware italiano del 2026
Il debutto di Panzer si inserisce in un anno già intenso per il ransomware contro obiettivi italiani. Gruppi come DragonForce, Titan e Qilin hanno colpito aziende italiane a più riprese nel corso dell’anno, con l’Italia stabilmente tra i paesi europei più bersagliati secondo i report Clusit pubblicati nei mesi precedenti. Panzer non sostituisce questi gruppi, ma si aggiunge a un panorama già affollato, aumentando il numero complessivo di sigle attive che le aziende italiane devono monitorare.
Per i responsabili sicurezza delle piccole e medie imprese, che compongono la parte prevalente del tessuto industriale del Nordest e del distretto del mobile veneto dove opera Doimo Cucine, questa proliferazione di sigle rappresenta un problema pratico prima ancora che statistico. Ogni nuovo gruppo porta con sé indicatori di compromissione diversi, tecniche di accesso iniziale potenzialmente nuove e un proprio ritmo di pubblicazione sul leak site. Tenere il passo richiede risorse di threat intelligence che molte PMI italiane semplicemente non hanno internamente, e che spesso demandano a fornitori esterni di sicurezza gestita.
Confronto con gli altri gruppi RaaS attivi in Italia
Mettere Panzer a confronto con gruppi più consolidati aiuta a capire dove si colloca nella gerarchia del crimine ransomware. Sigle come Akira e Qilin operano da anni e hanno accumulato centinaia di vittime rivendicate a livello globale, con Qilin che si è posizionato come uno dei gruppi più attivi del 2026 secondo le rilevazioni pubblicate sui principali tracker di settore. Panzer, con circa diciassette vittime rivendicate nel primo mese, si muove a una scala molto più piccola, ma con un ritmo di crescita iniziale che non è distante da quello osservato in altre sigle nella loro fase di lancio.
| Gruppo RaaS | Fase | Piattaforme target | Doppia estorsione |
|---|---|---|---|
| Panzer | Debutto (agosto 2026) | Windows, Linux, ESXi, FreeBSD | Sì |
| Akira | Consolidato | Windows, Linux, ESXi | Sì |
| Qilin | Consolidato | Windows, Linux, ESXi | Sì |
| DragonForce | Consolidato | Windows, Linux, ESXi | Sì |
| Titan | Emergente | Windows, Linux | Sì |
Il tratto comune a tutti i gruppi elencati è la copertura ESXi, ormai uno standard implicito per chiunque voglia colpire aziende di dimensioni medio-grandi in Europa. Panzer si distingue per il supporto aggiuntivo a FreeBSD, una scelta meno comune che potrebbe riflettere la volontà di coprire ambienti server di nicchia, spesso usati da provider di hosting e infrastrutture di rete, un dettaglio che si sposa con il profilo professionale di una delle vittime italiane, NTE Italia, attiva proprio nel settore delle telecomunicazioni.
Impatto sul mercato: PMI, assicurazioni cyber e obblighi NIS2
L’arrivo di un nuovo gruppo RaaS ha ricadute concrete sul mercato dell’assicurazione cyber italiano. Gli assicuratori aggiornano periodicamente i propri modelli di rischio includendo le nuove sigle osservate sui leak site monitorati, e la comparsa di Panzer con due vittime italiane in meno di un mese è il tipo di segnale che spinge verso una revisione dei premi per i settori manifatturiero e delle telecomunicazioni, gli stessi colpiti dalle prime due rivendicazioni italiane del gruppo.
Sul fronte normativo, il caso Panzer arriva in un momento delicato per le aziende italiane soggette alla direttiva NIS2, che dall’autunno 2026 prevede ispezioni dell’Agenzia per la Cybersicurezza Nazionale su migliaia di soggetti obbligati, con sanzioni che possono arrivare fino a dieci milioni di euro per le violazioni più gravi. Se Doimo Cucine o NTE Italia rientrano tra i soggetti tenuti alla notifica NIS2, un’eventuale conferma dell’incidente comporterebbe obblighi di segnalazione entro tempistiche strette verso l’Agenzia per la Cybersicurezza Nazionale e, in alcuni casi, verso il Garante per la protezione dei dati personali, qualora risultassero coinvolti dati personali tra i file esfiltrati.
Va detto con chiarezza che, al momento della pubblicazione di questo articolo, non risultano dichiarazioni pubbliche di ACN o della Polizia Postale specificamente riferite a Panzer. L’assenza di una comunicazione ufficiale non è insolita nelle prime settimane dopo la comparsa di un nuovo gruppo, quando le autorità raccolgono ancora indicatori di compromissione prima di emettere un avviso formale.
Il vuoto informativo: cosa ancora non sappiamo su Panzer
Un’analisi onesta di un gruppo ransomware così recente deve riconoscere apertamente i propri limiti. Non esistono, a oggi, fonti pubbliche che confermino l’algoritmo di cifratura usato da Panzer, il contenuto esatto delle note di riscatto o l’importo delle richieste economiche avanzate alle vittime. Non è nemmeno chiaro se il codice del ransomware derivi da un builder trapelato in passato, una pratica comune tra i gruppi minori, o se sia stato sviluppato ex novo dal team dietro Panzer.
Anche il numero totale di vittime resta una cifra in movimento. I diciassette casi rivendicati nel primo mese fotografano solo lo stato del leak site al momento della rilevazione: gruppi di questo tipo aggiungono nuove vittime con cadenza settimanale, e alla data di pubblicazione di questo articolo la lista potrebbe essere già cresciuta oltre i numeri riportati qui. Chi si occupa di sicurezza per aziende italiane dovrebbe considerare queste cifre come una fotografia iniziale, non come un dato consolidato. Per un monitoraggio aggiornato si può consultare direttamente il dashboard di Ransomfeed dedicato all’Italia.
Storia dei gruppi RaaS: da modello di nicchia a industria del crimine
Il ransomware-as-a-service non è un’invenzione recente. Il modello si è affermato a partire dalla seconda metà degli anni Dieci, quando gruppi come GandCrab hanno dimostrato che affittare l’accesso a un payload di cifratura, in cambio di una percentuale sui riscatti, generava profitti superiori rispetto allo sviluppo in proprio di ogni singola campagna. Da allora l’industria è passata attraverso ondate successive: la generazione di REvil e DarkSide, colpita da azioni di polizia internazionale dopo l’attacco alla Colonial Pipeline nel 2021, poi la generazione di LockBit, smantellata parzialmente dalle forze dell’ordine nel 2024, e oggi una nuova ondata di sigle come Qilin, Akira e DragonForce che hanno riempito il vuoto lasciato dai gruppi caduti.
Panzer si inserisce in questo schema ciclico. Ogni volta che un’operazione internazionale colpisce un gruppo dominante, gli affiliati non spariscono: si spostano verso le sigle emergenti, portando con sé competenze di accesso iniziale già collaudate. La velocità con cui Panzer ha raggiunto vittime in undici paesi nel primo mese suggerisce proprio questo tipo di dinamica, con affiliati esperti che hanno scelto la nuova piattaforma invece di costruire un gruppo da zero.
Come proteggersi: indicazioni pratiche per le aziende italiane
In assenza di indicatori di compromissione pubblici specifici per Panzer, le raccomandazioni restano quelle valide contro qualsiasi gruppo RaaS con supporto ESXi e doppia estorsione. Primo, isolare la rete di gestione degli hypervisor da quella degli utenti, così che un accesso ottenuto tramite phishing non porti direttamente al livello di virtualizzazione. Secondo, mantenere backup offline o immutabili degli host ESXi critici, verificando periodicamente che il ripristino funzioni davvero e non solo sulla carta.
Terzo, per le aziende che lavorano con fornitori terzi nel settore ICT e telecomunicazioni, come nel caso di NTE Italia, vale la pena rivedere i livelli di accesso concessi ai fornitori esterni alle proprie reti, applicando il principio del minimo privilegio anche ai partner di fiducia. Quarto, predisporre un piano di incident response che copra esplicitamente lo scenario di doppia estorsione, con procedure chiare su chi decide se e come comunicare pubblicamente un incidente, un aspetto che sia Doimo Cucine sia NTE Italia stanno gestendo, al momento, con il silenzio.
Previsioni: cosa aspettarsi da Panzer nei prossimi mesi
- Il numero di vittime rivendicate a livello globale supererà probabilmente le trenta unità entro fine ottobre 2026, seguendo il ritmo di crescita osservato nel primo mese di attività.
- È probabile che emergano nuove vittime italiane, considerando che due aziende su diciassette rivendicazioni globali collocano già l’Italia tra i paesi più colpiti dal gruppo in proporzione alla popolazione.
- Ricercatori di sicurezza pubblicheranno probabilmente nelle prossime settimane un’analisi tecnica del payload, che chiarirà se Panzer utilizza un builder derivato da codice trapelato in passato oppure uno sviluppo originale.
- Se il gruppo continuerà a crescere al ritmo attuale, è plausibile un’attenzione crescente da parte di agenzie di cybersicurezza europee, con un possibile avviso formale entro la fine del 2026.
- Il supporto a FreeBSD, ancora raro tra i gruppi RaaS, potrebbe diventare un tratto distintivo copiato da altre sigle emergenti nel 2027, se si dimostrerà efficace contro infrastrutture di hosting e provider di rete.
Queste restano proiezioni basate sul ritmo di crescita osservato nelle prime settimane, non certezze. La storia recente dei gruppi RaaS mostra traiettorie molto diverse tra loro: alcuni scompaiono nel giro di pochi mesi dopo un’azione di polizia o una faida interna tra affiliati, altri si consolidano fino a diventare tra i più attivi al mondo. Al momento non ci sono elementi sufficienti per collocare Panzer con certezza in una delle due categorie.
Domande frequenti su Panzer ransomware
Cos’è Panzer ransomware?
Panzer è un gruppo ransomware-as-a-service comparso il 5 agosto 2026, con leak site pubblico, programma di affiliazione e payload per Windows, Linux, VMware ESXi e FreeBSD, basato su un modello di doppia estorsione.
Quali aziende italiane ha colpito Panzer?
Il gruppo ha rivendicato due vittime italiane: Doimo Cucine, produttore di cucine con sede a Treviso, il 17 agosto 2026, e NTE Italia, società di ingegneria delle telecomunicazioni con sede a Catanzaro, il 21 agosto 2026. Nessuna delle due aziende ha confermato pubblicamente l’incidente.
Panzer è collegato a un altro gruppo ransomware noto?
Non risultano, al momento, fonti pubbliche che colleghino il codice di Panzer a famiglie ransomware già note come LockBit o Hive. Il gruppo si presenta come un’operazione autonoma.
Quante vittime ha rivendicato Panzer in totale?
Nel primo mese di attività il gruppo ha rivendicato tra le sedici e le diciannove vittime distribuite in undici paesi, con l’Italia tra i quattro paesi più colpiti insieme a Thailandia, Indonesia e Serbia.
Panzer usa la doppia estorsione?
Sì. Il gruppo esfiltra i dati prima di attivare la cifratura e minaccia di pubblicarli sul proprio leak site se la vittima non paga, uno schema ormai standard tra i principali gruppi RaaS attivi nel 2026.
Quanto sono grandi le fughe di dati dichiarate contro le vittime italiane?
Panzer dichiara circa 30 GB esfiltrati da Doimo Cucine e circa 16 GB da NTE Italia. Si tratta di cifre riportate dal gruppo stesso sul proprio leak site, non verificate in modo indipendente.
Le autorità italiane hanno emesso un avviso su Panzer?
Non risultano, alla data di pubblicazione, dichiarazioni pubbliche dell’Agenzia per la Cybersicurezza Nazionale o della Polizia Postale specificamente riferite a Panzer.
Come possono proteggersi le aziende italiane da gruppi come Panzer?
Le misure principali restano l’isolamento della rete di gestione degli hypervisor ESXi, backup offline o immutabili testati periodicamente, controllo degli accessi concessi a fornitori terzi e un piano di incident response che copra esplicitamente lo scenario di doppia estorsione.
