Luna Moth Files: le chat di Silent Ransom Group e i 207 milioni

Martedì 6 ottobre 2026 è comparso su un sito onion creato apposta, chiamato «Luna Moth Files», un archivio di chat interne attribuito a Silent Ransom Group (SRG, noto anche come Luna Moth). Il dato che ha fatto notizia è il totale dei riscatti registrato dal gruppo: 206,95 milioni di dollari pagati da 27 organizzazioni in circa sei mesi, senza cifrare un solo file. È una contabilità criminale, non un dato verificato: nessuna delle organizzazioni elencate ha confermato gli importi.

Cosa è successo

L’archivio è stato segnalato per primo a DataBreaches.net, secondo Security Affairs dalla ricercatrice Tammy Harper. Chi lo abbia pubblicato non è noto. Il gruppo ha accettato un’intervista con DataBreaches.net, ma ha negato di aver subito una violazione e ha definito falsi i file. DataBreaches.net ha poi pubblicato, il 9 e l’11 ottobre, due approfondimenti: secondo la testata i dati indicano che l’archivio è autentico, e la fuga non deriva da un attacco informatico contro il gruppo ma da altre circostanze.

Cosa contiene l’archivio e cosa è verificato

Secondo Insicurezza Digitale e Security Affairs, l’archivio comprende 5.692 messaggi provenienti da due server, dal 27 agosto 2025 al 29 settembre 2026: trattative con le vittime, metodi di accesso, nuovi attacchi, ripartizione e conversione dei proventi.

Nel registro interno lo stato «GOLD» indica un pagamento ricevuto. Le 27 voci così marcate cadono tra il 3 aprile e il 24 settembre 2026, con una mediana di 6 milioni di dollari, una media di circa 7,66 milioni e importi tra 100.000 dollari e 30 milioni. Le fonti divergono sul perimetro: per Security Affairs le 27 vittime sono tutte studi legali, mentre Insicurezza Digitale parla di 27 organizzazioni e indica gli studi legali come bersaglio privilegiato.

I riscontri disponibili sono parziali:

• Analisi on-chain. Crystal Intelligence ha trovato transazioni compatibili con alcune chat. I wallet analizzati direttamente hanno ricevuto circa 37 BTC (circa 3 milioni di dollari), soprattutto quote degli operatori; un wallet di raccolta avrebbe ricevuto 344 BTC in sei settimane tra aprile e maggio 2026. Secondo Crystal i dati confermano l’ordine di grandezza, non i singoli riscatti né il totale.
• Notifiche di violazione. Per 9 delle 27 organizzazioni esistono notifiche pubbliche di incidenti con tempi compatibili: è un riscontro sull’esistenza degli incidenti, non sui pagamenti.
• Incongruenze. DataBreaches.net, citata da Security Affairs, ha trovato voci del sito di leak del gruppo non coerenti con le chat: in un caso un’offerta senza traccia del pagamento «GOLD», in un altro nessuna risposta della vittima nelle conversazioni.

Dettagli tecnici: un’estorsione senza malware

SRG, emerso dopo lo scioglimento di Conti secondo Insicurezza Digitale, pratica la pura estorsione sui dati: entra, sottrae informazioni e minaccia di pubblicarle, senza ransomware cifrante. Il vettore è l’ingegneria sociale:

• callback phishing: false fatture che spingono la vittima a chiamare un numero controllato dal gruppo;
• telefonate di finto supporto IT per convincere i dipendenti a concedere un accesso remoto;
• visite in ufficio con false identità, secondo l’analisi di Crystal riportata da Insicurezza Digitale;
• in un incidente notificato pubblicamente, citato da Security Affairs, l’attaccante si è finto l’IT interno e ha convinto un avvocato a caricare file su un Google Drive esterno; in un altro, un dipendente è stato ingannato fino a consegnare le proprie credenziali.

Nella nostra lettura, le tecniche descritte corrispondono a queste voci MITRE ATT&CK: Spearphishing Voice (T1566.004), Impersonation (T1656), Remote Access Software (T1219), Valid Accounts (T1078), Exfiltration to Cloud Storage (T1567.002) e Financial Theft (T1657). Non ci sono CVE né malware da rilevare con le firme.

Le chat descrivono regole contro il tracciamento dei proventi (un indirizzo nuovo per ogni pagamento, fondi delle vittime separati), non sempre rispettate: il 22 aprile 2026 un reclutatore ha speso insieme due pagamenti distinti, collegandoli on-chain. La conversione passava da exchanger con accredito su carte bancarie russe, un corriere di contanti a Mosca, un servizio Bitcoin-Zelle e, secondo Security Affairs, un mixer quando i fondi venivano segnalati. Molti pagamenti minori finivano su exchange regolamentati, con account legati a identità verificate: secondo Crystal è il punto più debole della rete.

Gli indicatori dell’archivio, che Insicurezza Digitale raccoglie sul proprio forum, vanno usati come contesto: la presenza nel leak non prova l’uso negli attacchi.

Impatto per le aziende europee e italiane

Studi legali, commercialisti e consulenti custodiscono dati riservati dei clienti, e la minaccia di pubblicarli genera una pressione reputazionale fortissima: è ciò che rende possibili riscatti di questa entità senza bloccare un solo server. Gli studi professionali in genere non sono soggetti NIS2, ma lo sono molti loro clienti, che con il d.lgs. 138/2024 devono valutare la sicurezza dei fornitori. Per il GDPR, una sottrazione di dati personali va valutata per la notifica al Garante entro 72 ore, che si paghi o no.

Il caso mostra anche i limiti dei controlli tecnici classici: se è un dipendente ad aprire l’accesso o a caricare i file, antivirus ed EDR possono non vedere nulla di anomalo.

Cosa fare subito

1. Una regola semplice per tutti: l’IT non chiede mai di installare programmi di accesso remoto, consegnare credenziali o caricare file su cloud esterni durante una chiamata ricevuta. Ogni richiesta si verifica richiamando un numero già in rubrica.
2. Fatture con numeri da chiamare: l’amministrazione deve sapere che rinnovi e addebiti inattesi sono un’esca tipica del callback phishing.
3. Consenti solo gli strumenti di accesso remoto approvati e allerta su ogni nuova installazione o esecuzione di software di questo tipo.
4. Blocca o sorveglia il caricamento verso cloud personali e i trasferimenti in uscita di grandi volumi, soprattutto dalle cartelle dei clienti.
5. Verifica l’identità di chi si presenta in ufficio come tecnico o fornitore, con conferma dal referente interno prima di dargli accesso a postazioni o rete.
6. In caso di estorsione, verifica prima di trattare: ricostruisci con i log che cosa è uscito davvero e coinvolgi subito legali e autorità.

Come aiuta ARXDOME

ARX Sentry raccoglie l’inventario di software e processi di ogni computer e, nelle pagine del SOC dedicate alle identità, mostra accessi in desktop remoto, accessi notturni e modifiche agli account: un programma di accesso remoto comparso dopo una telefonata si vede. ARX Shield permette di isolare dalla rete una macchina sospetta con un clic, ARX Trace raccoglie le prove per ricostruire che cosa è stato sottratto, ARX Expose segnala i domini simili al tuo e gli account aziendali finiti in violazioni, utili a chi prepara un’impersonificazione.

Ultimo aggiornamento: 11 ottobre 2026