Mettiamo subito le mani avanti, perché in questo mestiere la differenza tra una notizia e una figuraccia sta tutta nei verbi. Il gruppo ransomware Panzer ha rivendicato – rivendicato, non “colpito”, non “violato in modo confermato” – un attacco contro PQE Group, consulenza fiorentina specializzata in conformità per il settore life sciences.
Al 30 ottobre PQE non ha confermato nulla, non risultano suoi comunicati né avvisi, e nessuna testata italiana ha ancora ripreso la vicenda. La fonte è esclusivamente l’ecosistema dei tracker ransomware: ransomware.live, che data la scoperta al 28 ottobre alle 18:26 UTC, più alcuni aggregatori automatici.
Questo non rende la notizia meno interessante, la rende solo più onesta. Chi scrive “azienda violata” quando esiste solo un post sul leak site di una banda criminale sta facendo il lavoro di comunicazione della banda, gratis. Noi aspettiamo la conferma della vittima o di un’autorità prima di promuovere la rivendicazione a fatto.
Nel frattempo, però, c’è un dettaglio tecnico in questa vicenda che vale la pena raccontare a prescindere dall’esito giudiziario, perché insegna qualcosa di scomodo a chiunque gestisca backup: il bersaglio dichiarato non sono i documenti dei clienti, è il sistema che quei documenti avrebbe dovuto salvare.
Indice degli argomenti
Il consulente di conformità, fuori conformità
Per capire perché questa rivendicazione, se confermata, sarebbe più di una delle tante, serve sapere cosa fa PQE Group.
Ragione sociale Pharma Quality Europe S.r.l., fondata nel 1998 da Gilda D’Incerti, sede a Reggello – comune della città metropolitana di Firenze, non Firenze città, per la cronaca. Non è una software house qualunque: vende conformità. GxP nelle sue declinazioni – buone pratiche cliniche, di laboratorio, di fabbricazione, di farmacovigilanza, di distribuzione — più convalida dei sistemi computerizzati, data integrity, regulatory e market access.
I clienti sono aziende farmaceutiche, biotecnologiche e produttori di dispositivi medici. Il bilancio di sostenibilità 2025 dà i numeri: oltre 1.800 persone in 22 paesi, di cui 1.145 dipendenti diretti in 43 sedi, e 104 milioni di euro di fatturato.
L’azienda si presenta come women-owned e, dettaglio che qui diventa quasi comico, certificata ISO 9001 e ISO/IEC 27001:2022.
Ecco l’ironia che nessuna slide saprebbe rendere meglio. Un’azienda che per mestiere insegna ad altri come proteggere l’integrità dei dati e come superare gli audit viene rivendicata come vittima proprio sul terreno che presidia per professione. È il dentista con la carie, l’istruttore di nuoto che prende acqua.
E il punto non è deridere PQE – chiunque può essere colpito, questo è il primo assioma del mestiere.
Il punto è un altro, ed è sistemico: la certificazione ISO 27001 appesa alla parete non è uno scudo. È un attestato di aver documentato dei processi in un dato momento. La resilienza, quella vera, non si compra con un certificato: si verifica il giorno in cui qualcuno prova a portartela via.
Che è esattamente la lezione che PQE vende ai propri clienti, e che oggi – se la rivendicazione regge – sta ricevendo gratis.
I 200 gigabyte che forse non valgono nulla
Su quanto sia stato davvero portato via, le fonti sembrano contraddirsi, e vale la pena sciogliere il nodo perché è qui che si capisce la natura reale di questa rivendicazione.
Ransomware.live indica 200GB esfiltrati. Un altro tracker, nelle sue prime letture, riportava che il gruppo non dichiarava alcun volume, né riscatto né scadenza. Sembrano due storie diverse. Non lo sono: descrivono la stessa nota, letta in momenti diversi.
La ricostruzione corretta è che Panzer dichiara 200GB, non indica una cifra di riscatto e mostra un conto alla rovescia di circa venti giorni. Il resto lo spiega la nota stessa degli attaccanti, e qui la vicenda diventa istruttiva.
Leggo testualmente quello che Panzer ha scritto: il volume completo dei dati è in formato Duplicati – file del tipo dindex.zip.aes – e il gruppo, insieme ai suoi affiliati, dichiara che tenterà di enumerare la passphrase dalla rete della vittima e di craccarla con liste e strumenti su misura.
Promette persino di condividere una guida su come estrarre l’hash con lo script aescrypt2hashcat.pl e craccarlo con hashcat, e precisa che il resto dipenderà dal processo di cracking per vedere il volume completo dei dati.
Traduciamo dal gergo criminale. I 200GB ci sono, ma sono cifrati, e – per esplicita ammissione di chi li ha rubati – senza la passphrase sono illeggibili.
Panzer non sta vendendo documenti riservati: sta vendendo l’archivio chiuso di documenti riservati, sperando che qualcuno nella community criminale lo aiuti a trovare la chiave. È un’estorsione condizionale: “ho preso qualcosa di potenzialmente enorme, ma devo ancora aprirlo”.
Con una passphrase robusta, il valore ricattatorio di quel bottino oggi è soprattutto potenziale. Una nota tecnica per chi conosce il formato: nei backup Duplicati i contenuti veri stanno nei volumi dblock, mentre i dindex sono solo indici – il riferimento ai soli dindex.zip.aes lascia perfino un margine di dubbio su cosa sia stato effettivamente preso. Che, tradotto, significa: forse non hanno nemmeno i dati che pensano di avere.
Il backup cifrato come bersaglio, non come rete di salvataggio
Qui sta il vero insegnamento, ed è controintuitivo. Duplicati è un client di backup open source che cifra i dati in locale, sul dispositivo, prima di spedirli – AES-256 o GPG, con una passphrase scelta dall’utente – e li comprime e deduplica a blocchi.
Il progetto rivendica un principio “Trust No One”: le chiavi non lasciano mai la tua macchina. Sulla carta è esattamente ciò che vogliamo: anche se il tuo cloud di destinazione viene compromesso, l’attaccante trova solo blocchi cifrati. La passphrase, se la perdi, perde il backup anche a te – il che è scomodo per te e, in teoria, scomodissimo per chi ti ruba i dati senza averla.
In teoria. Perché la nota di Panzer, con quell'”enum the PassPhrase From the Target Network”, punta il dito esattamente sul punto debole che quasi nessuno considera. Nella configurazione via interfaccia grafica, Duplicati conserva la passphrase in chiaro nel proprio database di servizio, il file Duplicati-server.sqlite, nella tabella delle opzioni.
È documentato da anni nei thread del forum ufficiale del progetto. La conseguenza è brutale nella sua semplicità: chi compromette il server su cui gira Duplicati non deve craccare un bel niente. Apre il database, legge la passphrase, decifra tutto comodamente.
Il riferimento ad hashcat nella nota è la via di riserva, quella che serve solo se la passphrase dal server non si recupera – e che funziona unicamente contro passphrase deboli.
Il paradosso è completo. La cifratura locale protegge i dati nel cloud di destinazione, cioè dal luogo meno probabile dell’attacco. Ma lascia scoperta la macchina che orchestra il backup, cioè il bersaglio più ovvio, dove la chiave è in chiaro a portata di SELECT.
Il backup cifrato, in questa configurazione, non è la rete di salvataggio: è il bersaglio che concentra tutto in un posto solo, chiave inclusa. Difendere la cassaforte e lasciare la combinazione scritta sul post-it attaccato allo sportello è un classico, e continua a funzionare perché nessuno pensa che la combinazione sia il problema.
Chi è il gruppo ransomware Panzer
Vale la pena inquadrare chi c’è dietro la rivendicazione, perché non è un dilettante allo sbaraglio. Panzer è un’operazione ransomware-as-a-service con leak site attivo dal 5 agosto 2026, modello di spartizione 80/20 a favore degli affiliati, con build pronte per Windows, Linux, VMware ESXi e FreeBSD.
Pratica la doppia estorsione: cifra e minaccia la pubblicazione dei dati. Ha anche un suo codice d’onore da manuale del genere – niente attacchi ai paesi della Comunità di Stati Indipendenti, niente organizzazioni legate ad abusi su minori, affiliati inattivi da più di una settimana disattivati.
Il conteggio delle vittime varia secondo la fonte e la data del rilevamento: una quarantina in almeno undici paesi nei primi tre mesi, secondo il CERT della società francese Synetis, che parla di pubblicazione dei dati sul loro “wall of fame” di norma entro una quindicina di giorni.
Non è nemmeno la prima volta che Panzer tocca l’Italia: tra le vittime rivendicate figurano già Doimo Cucine, trevigiana, listata ad agosto, e NTE Italia di Catanzaro. Il che rende la vicenda PQE meno esotica di quanto il nome del gruppo possa suggerire.
Le tecniche, documentate da Synetis su un caso reale di incident response, sono il ritratto del ransomware del 2026 e meritano un paio di pillole operative. L’accesso iniziale arriva da credenziali valide rubate tramite infostealer, usate su un gateway RDS esposto senza autenticazione a più fattori – la MFA mancante resta, anno dopo anno, la porta d’ingresso numero uno.
La ricognizione gira con script PowerShell che, a giudicare da commenti didascalici ed emoji, sono con ogni probabilità generati da un modello linguistico: l’automazione offensiva via AI non è più uno scenario da convegno, è nel log di un cliente reale.
Gli script cercano in modo mirato i formati documentali – doc, pdf, xls, ppt, odt, csv. Il movimento laterale avviene via RDP, la cifratura scatta dopo otto giorni di permanenza con un eseguibile scritto in Rust (ChaCha20-Poly1305 più RSA-2048), e l’esfiltrazione passa da una banale Compress-Archive.
Otto giorni dentro la rete prima di premere il grilletto: il tempo non è mancato a nessuno, tranne a chi doveva accorgersene.
Quattro cose da fare prima del prossimo backup
Indipendentemente da come finirà la vicenda PQE, la configurazione che Panzer dichiara di voler sfruttare è talmente comune da meritare una verifica immediata su chiunque usi Duplicati o un backup con cifratura gestita allo stesso modo.
Quattro punti, in ordine di urgenza.
- La passphrase lunga e casuale, conservata fuori dal server di backup – in un password manager o in un vault, non nel database che la macchina stessa espone. Una passphrase debole è ciò che rende aescrypt2hashcat.pl più di una minaccia teorica.
- Il server di backup isolato e protetto da MFA. Gran parte di questi attacchi non buca la cifratura: entra dalla porta aperta accanto. Il gateway RDS senza secondo fattore del caso Synetis è la regola, non l’eccezione.
- Copie immutabili o offline. La regola 3-2-1 – tre copie, due supporti, una fuori sede – resta la differenza tra un incidente e una catastrofe, a patto che almeno una copia non sia raggiungibile e riscrivibile dalla stessa rete compromessa.
- Il monitoraggio degli accessi al database di configurazione. Una lettura anomala di Duplicati-server.sqlite è un segnale precoce che vale più di molti alert generici.
Resta, sopra tutto, la premessa da cui siamo partiti: finché PQE o un’autorità non confermano, questa è una rivendicazione, non un fatto accertato. Ma la lezione tecnica non ha bisogno di quella conferma per essere valida. Vale per PQE come per qualunque azienda certificata, strutturata, convinta di essere a posto perché ha il backup e il bollino ISO.
La domanda da portarsi a casa, allora, non è se Panzer riuscirà a craccare quella passphrase. È un’altra, e andrebbe fatta oggi, non dopo: la chiave del vostro backup, in questo momento, dove si trova – in una cassaforte, o in chiaro sulla stessa macchina che un attaccante punterebbe per prima?
Partecipa alla community