Nella giornata di ieri, 29 luglio 2025, il gruppo criminale WorldLeaks è tornato al centro dell’attenzione nel panorama cyber italiano rivendicando pubblicamente un nuovo attacco ransomware contro Acea, una delle principali multiutility italiane.
Il gruppo ha quindi imposto un countdown sul proprio sito nel dark web per la pubblicazione dei dati esfiltrati, confermando un modello operativo ormai sempre più comune: la figura del “data broker” come attore centrale della filiera criminale.
Aggiornamento del primo agosto 2025: Il gruppo WorldLeaks ha mantenuto la promessa fatta nella rivendicazione, rendendo pubblicamente disponibili circa 2,9 terabyte di dati esfiltrati durante l’attacco ad Acea.
Il materiale diffuso comprende una vasta collezione di documenti interni, tra cui file Word organizzati in cartelle tematiche che contengono password di amministrazione, riferimenti a credenziali d’accesso e dettagli operativi relativi ai fornitori dell’azienda.
La gravità dell’esposizione aumenta per la natura sensibile delle informazioni, ora accessibili liberamente in rete, con potenziali implicazioni sia sul piano della sicurezza informatica sia della protezione dei dati dei partner coinvolti.
Indice degli argomenti
Non solo ransomware: l’evoluzione dei broker di dati
WorldLeaks non si comporta come i classici gruppi RaaS (Ransomware-as-a-Service) che sviluppano e distribuiscono i payload.
Piuttosto, si colloca a valle della catena del cybercrimine, nel ruolo di intermediario o broker, gestendo la monetizzazione dei dati rubati da altri attori, spesso specializzati nell’accesso iniziale (Initial Access Brokers – IAB) o nella distribuzione dei ransomware.
Questo threat actor avvia la sua attività all’inizio del 2025 come re-branding del gruppo Hunters International che, appunto nello stesso periodo, ha annunciato il suo ritiro dalla scena.
Nel caso specifico di Acea, non è chiaro se WorldLeaks sia stato l’operatore diretto dell’attacco o se stia gestendo la diffusione dei dati per conto terzi.
Per ora si può anche ipotizzare che stia cercando ricavi dal precedente attacco che ha coinvolto Acea due anni fa, ad opera di BlackBasta. Questo comportamento è coerente con una struttura criminale modulare, in cui diversi attori collaborano in modo flessibile:
- gli IAB vendono accessi a reti compromesse;
- i gruppi ransomware gestiscono il deployment del payload (in questo caso verosimilmente un locker con doppia estorsione);
- i data broker come WorldLeaks trattano la parte finale: la pubblicazione, la negoziazione, la rivendita e il ricatto tramite la minaccia della data leak.
Tattiche, tecniche e procedure (TTPs) di WorldLeaks
Sebbene le TTPs di WorldLeaks non siano completamente note, è possibile identificare alcuni pattern comportamentali:
- modalità di esposizione: i dati vengono pubblicati progressivamente su un leak site nel dark web per aumentare la pressione sulla vittima;
- rivendicazioni multiple: WorldLeaks ha già colpito altre realtà italiane ed estere, spesso in un arco temporale ravvicinato, segno di una pipeline costante di dati da monetizzare;
- collaborazioni opache: in alcuni casi emergono similitudini nei tool di cifratura o nei pattern di esfiltrazione che suggeriscono la presenza di una partnership con gruppi ransomware noti, anche se il nome di WorldLeaks non è associato a un locker proprietario;
- insider Threats: ci sono indicazioni (da analisi OSINT) secondo cui il gruppo potrebbe acquistare dati direttamente da insider o operatori infedeli, sfruttando anche piattaforme Telegram o canali dark web specializzati nella compravendita di accessi o informazioni privilegiate.
Indicatori di compromissione (IoC) e correlazioni note
Sebbene World Leaks non rilasci sistematicamente IoC tecnici (come hash o indirizzi IP), alcuni osservatori di threat intelligence hanno correlato le sue attività a campagne che utilizzano tool noti come:
- Cobalt Strike per il post-exploitation,
- Esfiltrazione tramite Rclone, MEGA, oppure canali TLS custom su porta 443,
- Utilizzo di loader come SmokeLoader o Gootloader in fasi precedenti.
La difficoltà nell’attribuzione certa degli attacchi rende fondamentale l’uso di tecniche di threat hunting basate su comportamenti anomali (es. accessi fuori orario, spike di traffico in uscita, persistence non standard), piuttosto che solo su IoC statici.
Contro attori come WorldLeaks serve un nuovo approccio difensivo
L’esistenza di attori come WorldLeaks complica la gestione della crisi in caso di attacco: anche in assenza di un riscatto pagato, i dati rubati possono essere comunque venduti o esposti.
Le difese devono quindi concentrarsi non solo sul contenimento del ransomware, ma anche sulla prevenzione dell’esfiltrazione e sul monitoraggio continuo delle fonti OSINT e dark web, per rilevare precocemente la presenza di dati aziendali.
