Alle 04:10 UTC di sabato 7 novembre 2026 un crawler automatico ha letto una nuova riga sul sito di rivendicazione del gruppo ransomware Nightspire e l’ha copiata su ransomware.live, l’aggregatore pubblico che chiunque può consultare senza Tor e senza competenze.
La riga dice: IMD Group, Italia, data presunta dell’attacco 14 ottobre 2026, dati esfiltrati “financial records” ed “employee data”.
Nelle stesse ore il gruppo ha aggiunto una società spagnola e una britannica. Lunedì 9 novembre, a più di 48 ore di distanza, nessuna testata italiana ne ha scritto e nessun comunicato è comparso sul circuito eMarket SDIR, dove le società quotate su Euronext Growth Milan sono tenute a depositare le informazioni rilevanti.
Questo silenzio è il vero oggetto dell’articolo, più della rivendicazione in sé. Perché se il bersaglio è davvero quello che il tracker indica, cioè la holding bergamasca I.M.D. International Medical Devices S.p.A., quotata dal luglio 2023 con il ticker IMD, allora il mercato ha avuto per quarantott’ore un’informazione che l’emittente non ha confermato né smentito, e l’ha avuta da un gruppo criminale. Non è una situazione inedita.
È una situazione che il diritto dei mercati finanziari ha previsto, regolato e sanzionato molto prima che il ransomware esistesse, e che i consigli di amministrazione delle piccole quotate italiane continuano a scoprire sulla propria pelle.
Una premessa, perché questo mestiere si fa con il condizionale. Una rivendicazione su un leak site non è una prova. I gruppi ransomware sbagliano bersaglio, gonfiano i numeri, rivendicano attacchi a controllate scambiandole per capogruppo, e qualche volta mentono per intero. “IMD Group” è una denominazione che nel mondo appartiene a più di un’azienda; l’attribuzione all’Italia è del tracker, non di un’autorità.
Finché la società non parla, l’unica frase corretta è: Nightspire sostiene di aver colpito IMD Group. Tutto quello che segue ragiona su quella frase e su cosa dovrebbe fare un CdA che la legge, non su un incidente accertato.
Indice degli argomenti
Cosa dice la rivendicazione e, soprattutto, cosa non dice
La scheda pubblicata da Nightspire è scarna in un modo che merita attenzione. Due categorie di dati, “financial records” ed “employee data”, senza campioni, senza elenchi di file, senza screenshot, e con il campo del volume esfiltrato fermo a 0 GB.
Nel gergo dei leak site questo può voler dire due cose opposte: che il gruppo non ha ancora caricato il materiale e sta usando la rivendicazione come leva negoziale nella fase di estorsione, oppure che il materiale è poco o inesistente e la rivendicazione è una bluffata per forzare un pagamento.
Secondo i tracker e gli analisti che lo seguono, Nightspire usa deadline molto brevi, anche di due giorni, e un linguaggio minaccioso sopra la media; la pubblicazione senza prove è coerente con una pressione in corso.
La data presunta dell’attacco, 14 ottobre, è il secondo dettaglio che pesa. Tra il 14 ottobre e il 7 novembre passano ventiquattro giorni, una finestra compatibile con il ciclo tipico di queste operazioni: intrusione, permanenza silenziosa, esfiltrazione, cifratura o solo furto, richiesta di riscatto, trattativa, e infine la pubblicazione quando la trattativa non va come il gruppo vorrebbe.
Se la data fosse corretta, e se la società se ne fosse accorta, avrebbe avuto fino a tre settimane per decidere cosa comunicare e a chi. Entrambi i “se” restano aperti: la data del tracker dice quando l’attaccante sostiene di essere entrato, non quando la vittima l’ha scoperto.
Il bersaglio indicato, se l’attribuzione del tracker regge, non è una PMI qualunque. I.M.D. International Medical Devices è la capogruppo di tre società operative, Technix, IMD Generators e Intermedical, tutte sul territorio bergamasco, con oltre quarant’anni di storia nella progettazione e produzione di sistemi radiologici a raggi X, generatori e monoblocchi venduti in Italia e all’estero. Il bilancio 2025 ha chiuso con ricavi delle vendite di 34,3 milioni di euro, in calo del 12,9% sull’anno precedente, con una capitalizzazione nell’ordine dei venti milioni. Il presidente e amministratore delegato, Aniello Aliberti, ricopre anche il ruolo di investor relator e a ottobre ha trasferito una quota del capitale alla holding di famiglia, operazione regolarmente comunicata al mercato. È quindi una società che il meccanismo della comunicazione regolamentata lo conosce e lo usa.
Ed è qui che la scheda di Nightspire smette di essere una curiosità per addetti ai lavori. “Financial records” di una quotata, per quanto piccola, sono per definizione materiale che può incidere sul prezzo. “Employee data” di un gruppo manifatturiero sono dati personali di lavoratori, quindi territorio GDPR. E un produttore di dispositivi medici con decine di milioni di fatturato potrebbe rientrare tra le entità importanti ai fini NIS2 per settore e dimensioni, anche se lo status effettivo dipende dalla registrazione e classificazione presso l’ACN, che non è pubblicamente verificabile.
Tre regimi normativi diversi, tre autorità diverse, tre orologi che partono in momenti diversi. Nessuno dei tre prevede che il mercato lo venga a sapere da un sito .onion.
Chi è Nightspire e come lavora
Nightspire compare sui radar tra febbraio e marzo 2025, con un sito di rivendicazione attivo da marzo e una crescita rapidissima: nel giro di un anno i tracker contano tra le 220 e le 330 vittime rivendicate, a seconda di chi conta e di come deduplica.
Per alcuni analisti si tratta di un rebrand di un’operazione precedente nota come Rbfs; per altri è un gruppo nuovo che ha imparato in fretta dai predecessori. In entrambi i casi il modello è quello consolidato della doppia estorsione: prima si esfiltrano i dati, poi si cifrano i sistemi, e il riscatto compra sia la chiave sia la promessa di non pubblicare.
Le richieste riportate dalle analisi di settore oscillano tra 150 mila e 2 milioni di dollari, cifre calibrate su piccole e medie imprese e non sulle multinazionali, il che spiega perché l’Italia manifatturiera compaia così spesso nelle sue liste.
Sul piano tecnico il gruppo ha fatto un percorso curioso. Nelle prime settimane operava solo con il furto di dati, senza cifratura; nel giro di poco ha aggiunto un payload scritto in Go che usa AES-256 per i file e RSA-2048 per proteggere le chiavi, e appende l’estensione .nspire ai file colpiti.
Una peculiarità segnalata dai ricercatori è che il ransomware non cancella le Volume Shadow Copies di Windows, scelta insolita che privilegia la velocità di cifratura rispetto alla distruzione dei punti di ripristino: per una vittima ben attrezzata può essere la differenza tra una settimana di fermo e un mese. Per l’esfiltrazione il gruppo si appoggia a strumenti legittimi di amministrazione e trasferimento, la tecnica detta living off the land che rende i log noiosi e le detection difficili.
L’accesso iniziale è dove Nightspire assomiglia a tutti gli altri, ed è il punto che interessa di più un CdA. Le vie documentate sono tre: lo sfruttamento di vulnerabilità note su apparati esposti, in particolare la CVE-2024-55591 dei firewall Fortinet, il brute force su RDP lasciato aperto su Internet, e il phishing.
Nessuna di queste richiede capacità fuori dall’ordinario. Richiedono un perimetro con una porta dimenticata, e la pazienza di provarle tutte. La selezione delle vittime è opportunistica: non si sceglie il settore, si sceglie chi ha un servizio esposto e vulnerabile, e si guarda il fatturato dopo, per calibrare la richiesta.
Un ultimo dato di contesto, che rende la rivendicazione contro IMD più interessante e non meno. Nel corso del 2026 l’attività di Nightspire è andata calando, al punto che a metà anno alcuni report lo descrivevano come vicino alla dormienza, con infrastrutture onion a singhiozzo e un sito principale raggiungibile solo a tratti.
Il 7 novembre ha pubblicato tre schede di vittime rivendicate in un colpo solo. Un gruppo che riemerge dopo mesi di quiete può indicare un nuovo partner per l’accesso iniziale o un’infrastruttura ricostruita. In entrambi i casi la buona notizia per chi lo stava ignorando è finita.
Pillole per leggere un leak site senza farsi ingannare
Leak site, o DLS. Dedicated Leak Site: il sito, quasi sempre sulla rete Tor, dove un gruppo ransomware pubblica i nomi delle vittime, un conto alla rovescia e, alla scadenza, i dati. Non è un canale di comunicazione con il pubblico, è uno strumento di pressione sulla vittima: la pubblicazione del nome serve a far capire che la minaccia di diffusione è concreta. Gli aggregatori come ransomware.live e RansomLook lo leggono in automatico e lo rendono consultabile a chiunque, giornalisti e concorrenti inclusi.
Doppia estorsione. Furto dei dati prima, cifratura dopo. La cifratura si risolve con un backup; il furto no. È per questo che oggi la domanda giusta durante un incidente non è “abbiamo i backup?” ma “cosa hanno portato via e a chi appartiene?”. Un’azienda con backup perfetti e dati dei dipendenti esfiltrati deve comunque valutare la notifica al Garante e, se i dati sono rilevanti per il prezzo, la comunicazione al mercato.
0 GB e assenza di campioni. Il campo vuoto non è una rassicurazione. In fase di trattativa i gruppi tendono a non pubblicare prove, perché il materiale è la merce; le prove arrivano quando la vittima non paga o tratta male. Un CdA che legge “0 GB” e tira un sospiro di sollievo sta leggendo il listino di un negoziato in corso come se fosse un referto.
Data presunta. I tracker calcolano la data dell’attacco a ritroso dalle informazioni del gruppo o dalla differenza tra l’intrusione e la pubblicazione. È indicativa, non forense. Serve però a porre una domanda: se la data è il 14 ottobre e la pubblicazione il 7 novembre, quando la vittima si è accorta dell’intrusione? La finestra non prova nulla sulla conoscenza dell’azienda, ma è la prima cosa che un’autorità o un giornalista chiederanno di spiegare.
Attribuzione del bersaglio. Il nome sul leak site lo scrive il criminale, il paese lo deduce il tracker. Omonimie e controllate confondono tutti. Prima di scrivere “azienda X colpita” un giornalista o un analista serio cerca una conferma indipendente: un comunicato, un disservizio documentato, una fonte interna. Fino ad allora la formula è “il gruppo Y rivendica”. Questa regola vale anche per chi la notizia la subisce: una smentita secca e verificabile, quando è fondata, chiude la questione in un’ora; il silenzio la lascia crescere per settimane.
Price sensitive. Nel diritto dei mercati un’informazione è privilegiata quando è precisa, non pubblica e idonea a influire sensibilmente sul prezzo. Un incidente confermato con esfiltrazione di dati finanziari di una quotata può soddisfare tutti e tre i requisiti; una rivendicazione non confermata da sola no, finché l’emittente non dispone di fatti precisi che la riscontrino. Il fatto che la società sia piccola e il titolo poco liquido non cambia la natura dell’informazione: cambia solo quante persone se ne accorgono, e quanto rumore fanno quando lo fanno.
Tre orologi normativi, nessuno dei quali aspetta il leak site
Il primo orologio è quello del mercato. Euronext Growth Milan è un sistema multilaterale di negoziazione, non un mercato regolamentato, e molti amministratori di piccole quotate ne deducono che gli obblighi informativi siano più leggeri.
È vero per i bilanci, è falso per le informazioni privilegiate: il Regolamento (UE) 596/2014, il MAR, si applica anche agli strumenti negoziati su MTF, e il Regolamento Emittenti di Euronext Growth Milan lo richiama espressamente. L’articolo 17 del MAR impone di comunicare al pubblico “quanto prima possibile” le informazioni privilegiate che riguardano direttamente l’emittente.
Un incidente confermato con esfiltrazione di dati finanziari e impatto su attività, reputazione o prospettive economiche può esserlo; una rivendicazione pubblica non confermata non lo è di per sé, e la valutazione spetta all’emittente con il supporto legale e dell’advisor.
Il paragrafo 4 dello stesso articolo consente di ritardare la comunicazione, ma a tre condizioni cumulative: che la pubblicazione immediata pregiudichi interessi legittimi dell’emittente, che il ritardo non sia idoneo a fuorviare il pubblico, e che l’emittente sia in grado di garantire la riservatezza dell’informazione.
La terza condizione è quella che il leak site mette in crisi alle 04:10 UTC di un sabato: la comparsa del nome su un tracker pubblico riduce drasticamente la plausibilità di un rinvio fondato sulla riservatezza.
L’obbligo di comunicare, però, non scatta in automatico per la sola rivendicazione: dipende dall’esistenza di un’informazione privilegiata precisa in possesso dell’emittente e da una valutazione che la società deve essere in grado di documentare. Il silenzio prolungato, se la società avesse scelto di ritardare, è un elemento che merita una spiegazione; da solo non consente di concludere che il rinvio fosse illegittimo.
La vigilanza, va ricordato, è di Consob anche sull’Euronext Growth, con il supporto dell’Euronext Growth Advisor che assiste l’emittente, nel caso di IMD la MIT SIM. Le sanzioni per omessa o tardiva comunicazione di informazioni privilegiate previste dal Testo Unico della Finanza arrivano a cifre che per una società da venti milioni di capitalizzazione non sono astratte.
E c’è un aspetto meno visibile: se la data indicata dal tracker fosse corretta, la finestra tra presunta compromissione e pubblicazione solleva una domanda sulla tempestività della rilevazione interna. Non consente però di presumere quando la società ne sia effettivamente venuta a conoscenza, e quel momento è l’unico che conta per ogni valutazione successiva, incluse quelle che un’autorità di vigilanza compie per mestiere.
Il secondo orologio è quello del Garante privacy. “Employee data” sono dati personali di lavoratori: anagrafiche, codici fiscali, IBAN per gli stipendi, spesso dati sanitari legati a infortuni o idoneità. L’articolo 33 del GDPR impone al titolare di notificare la violazione al Garante entro 72 ore da quando ne è venuto a conoscenza, e l’articolo 34 di informare gli interessati senza ingiustificato ritardo quando il rischio per i loro diritti è elevato, come accade con dati bancari e documenti d’identità in mano a estorsori.
Tutto questo vale se i dati dei dipendenti risultassero effettivamente esfiltrati: la notifica dipende dalla sussistenza di una violazione accertata e dalla valutazione del rischio, non da una rivendicazione. E il termine decorre dalla conoscenza effettiva della violazione, non dalla data presunta riportata dal tracker: il Garante chiederà di vedere il registro delle violazioni e la data in cui è stato compilato, ed è su quella che si misura il ritardo. La giurisprudenza del Garante sui ritardi di notifica è ormai consolidata, e il fatto che l’azienda era impegnata in una trattativa con i criminali non è mai stato accettato come scusante.
Il terzo orologio è quello di NIS2, recepita con il D.Lgs. 138/2024. Qui serve una cautela esplicita: la fabbricazione di dispositivi medici compare tra i settori della direttiva, ma la qualifica di soggetto importante dipende dalla soglia dimensionale, dall’inquadramento della specifica attività e soprattutto dalla registrazione e classificazione presso l’ACN, un dato che al momento della pubblicazione non risulta verificabile pubblicamente per IMD. L’ipotesi è plausibile, non accertata.
Se confermata, l’articolo 25 del decreto impone la pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza di un incidente significativo, la notifica completa entro 72 ore e una relazione finale entro un mese. La qualifica di incidente significativo richiede una valutazione su fatti accertati secondo i criteri del decreto, non sulla sola natura dei dati rivendicati; qualora l’incidente fosse confermato e rientrasse in quei criteri, gli orologi sopra partono.
L’articolo 23 aggiunge la parte che riguarda direttamente il consiglio: gli organi di amministrazione approvano le misure di gestione del rischio, ne sorvegliano l’attuazione e rispondono delle violazioni. Non si tratta di una responsabilità del CISO o del responsabile IT. Si tratta del CdA.
Tre orologi, tre autorità, tre termini che partono dalla “conoscenza” e non dalla pubblicazione. La lezione organizzativa è che un piano di risposta agli incidenti di una quotata non può essere solo tecnico: deve includere, fin dal primo giorno, il consulente legale per il MAR, il DPO per il GDPR e il referente per l’ACN, e deve prevedere chi decide cosa comunicare al mercato e quando. Se la risposta a “chi decide?” è “vediamo quando succede”, il leak site deciderà al posto vostro.
Il comunicato che non c’è, e come dovrebbe essere scritto
Mettiamoci per un momento nei panni di un consigliere di amministrazione che legge la riga del tracker lunedì mattina, magari perché gliel’ha inoltrata un analista o un fornitore. Ha tre opzioni.
Può tacere, sperando che la notizia resti confinata agli addetti ai lavori, e scoprire tra una settimana che un quotidiano locale bergamasco l’ha ripresa, con il titolo che scrive il giornalista e non lui. Può smentire, se ha elementi per farlo: se nessuna società del gruppo ha subito intrusioni, una nota di tre righe sul circuito SDIR chiude la vicenda e la trasforma in un caso di omonimia.
Oppure può comunicare, nel qual caso la domanda diventa cosa dire e come.
Il comunicato che il mercato si aspetta da una quotata in questa situazione non è un pezzo di marketing e non è una confessione. È un documento che risponde a cinque domande nell’ordine in cui un investitore se le pone.
Cosa è successo, con la data in cui la società ne è venuta a conoscenza, non quella in cui lo ha scoperto il tracker. Quali sistemi e quali dati sono coinvolti, con il grado di certezza disponibile e senza aggettivi: “la società ha accertato”, “la società sta verificando”, “la società non ha evidenza” sono tre frasi diverse e il lettore deve poterle distinguere. Quale impatto operativo c’è stato: la produzione è ferma, è rallentata, è regolare. Quali autorità sono state informate, perché la frase “abbiamo notificato il Garante, il CSIRT Italia e informato Consob” vale più di qualsiasi rassicurazione tecnica.
E, infine, cosa succede adesso: chi sta conducendo l’analisi forense, quando è previsto un aggiornamento, e un canale per i dipendenti i cui dati potrebbero essere coinvolti.
Quello che il comunicato non deve contenere è altrettanto importante. Non deve dire che “i sistemi sono stati messi in sicurezza” prima che la forense abbia detto come sono entrati: una frase del genere, smentita dai fatti tre settimane dopo, è il modo più rapido per passare da vittima a imputato nella percezione del mercato.
Non deve commentare la richiesta di riscatto né la trattativa. Non deve minimizzare il volume dei dati citando il campo “0 GB” del leak site, perché quel campo lo scrive il criminale. E non deve essere firmato dal responsabile IT. Lo firma l’amministratore delegato o il consiglio, perché il MAR parla all’emittente e il D.Lgs. 138/2024 parla agli organi di amministrazione, e nessuno dei due conosce la figura del sistemista.
La giustificazione che il CdA deve saper dare, se e quando sarà chiamato a darla, non riguarda il come tecnico dell’intrusione. Riguarda il perché organizzativo: perché l’azienda non aveva un processo per decidere in poche ore cosa comunicare; perché il piano di risposta, se fosse esistito, non avrebbe previsto il MAR; perché la valutazione del rischio cyber approvata in consiglio, se è stata approvata, non contemplava lo scenario più frequente degli ultimi cinque anni, cioè il ransomware a doppia estorsione contro una PMI manifatturiera lombarda.
Il sarcasmo, qui, non è rivolto a IMD, che potrebbe benissimo avere tutte le risposte e averle date alle autorità in via riservata. È rivolto a un sistema in cui decine di piccole quotate italiane hanno un piano di continuità operativa che parla di alluvioni e incendi e dedica mezza pagina a un evento che le statistiche di settore collocano in cima a ogni classifica di rischio da anni.
La domanda per il prossimo consiglio
Questo articolo potrebbe essere superato da un comunicato nel momento stesso in cui viene pubblicato, e sarebbe la conclusione migliore: una smentita chiara o una comunicazione completa chiuderebbero il caso IMD e lascerebbero in piedi solo il ragionamento generale.
Il ragionamento generale, però, resta. Nel 2026 la probabilità che una quotata italiana di piccola dimensione finisca su un leak site non è un’ipotesi di scuola, è una frequenza misurabile sui tracker ogni settimana. La differenza tra le società che ne escono con la reputazione intatta e quelle che ne escono con un procedimento Consob e un’istruttoria del Garante non sta nella qualità del firewall. Sta nel fatto che qualcuno, in consiglio, aveva già deciso prima chi avrebbe scritto il comunicato, in quante ore, e con quali parole.
La domanda da portare al prossimo CdA non è “siamo protetti?”. È: se domani alle 04:10 il nostro nome compare su un leak site, chi lo viene a sapere per primo, quanto tempo passa prima che lo sappia l’amministratore delegato, e quante ore abbiamo prima di dover parlare al mercato?
Se nessuno in sala sa rispondere, la risposta ce l’ha già il gruppo criminale.
Partecipa alla community