Un leak non prova un attacco: cosa sappiamo di Hysytech e Goccia

Il 10 ottobre 2026 sul sito di leak del gruppo ransomware Majinahanashi compaiono, o ricompaiono, due nomi italiani: HYSYTECH S.r.l., società di ingegneria piemontese che progetta impianti per biometano e idrogeno, e Goccia S.p.A., il gruppo di Cocconato, in provincia di Asti, proprietario della catena JOY Gioielli. I tracker automatici le rilanciano con la solita liturgia: nome, data, un logo, un po’ di sensazionalismo. Il resto lo fa l’ansia di chi legge il feed alle sette del mattino con il caffè in mano.

C’è però un dettaglio che il feed non vi urla in faccia, e che è il motivo per cui scrivo questo pezzo. Una delle due schede non è una novità: la scheda di Goccia era già stata indicizzata da ransomware.live il 12 agosto 2026, con la stessa data di attacco stimata, il 3 agosto. In due mesi non è successo niente di nuovo.

Il copione è stato semplicemente ripubblicato. L’altra, quella di HYSYTECH, è davvero recente ma, secondo RedPacketSecurity, non mostra uno screenshot, non indica quanti dati sarebbero stati sottratti e non contiene una richiesta di riscatto.

Majinahanashi e le rivendicazioni ransomware non verificate

Se siete IT manager, responsabili della sicurezza di una PMI o semplicemente quello a cui l’ufficio comunicazione telefona nel panico, questo è un caso di scuola su come reagire a un alert del genere senza farsi prendere dal panico e senza liquidarlo con un comunicato frettoloso. Gli estremi sono due, e sono sbagliati entrambi: «siamo stati violati, è scritto su internet» e «è tutta fuffa, non ci preoccupiamo». La verità professionale sta nel mezzo, ed è molto meno telegenica.

L’analisi di riferimento è quella di The Raven File, firmata dal ricercatore indipendente RakeshKrish, pubblicata il 14 agosto 2026 e aggiornata il 12 ottobre. Il gruppo viene presentato come l’ennesimo gruppo di estorsione a tema giapponese, dopo Yurei, Sinobi e Tengu. Il nome, secondo il ricercatore, unisce «majin» e «ahanashi» e rimanda a storie di spiriti; il bollettino di protezione di Broadcom/Symantec lo traduce con «storie di fantasmi». Ci mancava solo un gruppo che sceglie un nome da racconto horror per fare un po’ di teatro.

Sul piano infrastrutturale, il sito di leak vive su un dominio Tor non vanity, cioè un indirizzo onion lungo e casuale, senza nessun nome leggibile incorporato, protetto da un captcha matematico.

Dietro ci sono nginx e un’applicazione Python/Flask, e i dati rubati, quando ci sono, stanno su file server separati, con il titolo «MAJINAHANASHI ARCHIVE» in giapponese. Secondo The Raven File il primo leak risale al 27 giugno 2026 e ad agosto le vittime elencate erano 15. Ransomware.live, dal canto suo, registra la prima scoperta del gruppo il 12 agosto 2026. Il 2 ottobre il sito è stato rinnovato (oggi si intitola «MAJIN RANSOM») e sono stati cambiati i file server.

Sul versante tecnico, il malware descritto dal ricercatore è composto da due campioni in C/C++ da circa 90 KB ciascuno, con data di creazione 2 luglio 2026. Cifra con AES-256, proteggendo le chiavi dei singoli file con RSA, aggiunge l’estensione .MAJIN, usa il mutex Global\majinahanashi_Mutex e installa un servizio chiamato majinSvc.

Prima di cifrare cancella le shadow copy, interviene sulle impostazioni di avvio con bcdedit, svuota i log e il journal USN, e usa il Windows Filtering Platform per silenziare gli agenti EDR. La nota di riscatto è un README.txt con contatti qTOX e Proton, come documentato da PCRisk.

Il giudizio di The Raven File è sobrio: una famiglia di ransomware di fascia media, senza crittografia innovativa né tecniche di anti-analisi sofisticate. Non è una minaccia da sottovalutare, perché cancellare backup e accecare l’EDR sono mosse che funzionano contro chi non ha una difesa a strati. Ma non è nemmeno il mostro che il nome lascia immaginare.

Goccia e HYSYTECH nei claim ransomware di Majinahanashi

Ransomware.live indicizza Goccia una prima volta il 12 agosto 2026 alle 14:47 UTC, con attacco stimato al 3 agosto. Breachsense la registra come «JOY Gioielli» il 13 agosto, con dimensione del leak sconosciuta. La seconda indicizzazione arriva il 10 ottobre alle 20:43 UTC, con la stessa data di attacco stimata. Due mesi, stesso attacco, stessa scheda, nuova data di scoperta.

Il testo attribuito al gruppo, riportato da GalaxyWarden, cita i siti dell’azienda, un fatturato di 19,2 milioni di euro e un leak di 3.557 file. Sono numeri dichiarati dal gruppo, non verificati: nessuna fonte indipendente li conferma. GalaxyWarden aggiunge che l’azienda non ha confermato pubblicamente alcuna violazione o sottrazione di dati.

Per inquadrare l’azienda con fonti ufficiali: Goccia S.p.A. ha sede legale a Cocconato (AT) ed è stata fondata nel 1989 da Giuseppe Conrotto. Il format Joy Gioielli nasce nel 2008 e l’e-commerce nel 2020. Secondo il profilo LinkedIn ha 18 punti vendita tra le insegne Joy Gioielli, Pietra Gioielli e Pandora e circa 130 persone. «Gruppo gioielliero proprietario della catena JOY Gioielli» è una descrizione corretta. Le enfasi alla «major Italian jewelry corporation» sono invece un’aggiunta del tracker.

HYSYTECH: un post recente senza prove pubbliche

La scheda di HYSYTECH è stata scoperta da ransomware.live il 10 ottobre alle 20:38 UTC, con attacco stimato al 2 ottobre. HackNotice ha una voce datata 9 ottobre. Qui il punto chiave lo mette nero su bianco RedPacketSecurity: il 2 ottobre è la data del post, perché non viene fornita una data di compromissione separata. Il post non descrive tipo né volume dei dati che sarebbero stati ottenuti e non contiene screenshot o altre immagini.

In altre parole, la «data di attacco stimata» di molti feed non è una data di attacco: è la data in cui un criminale ha scritto un post. Chi costruisce una timeline di incidente su quel campo sta datando un annuncio, non una compromissione. Il bollettino di Telsy sull’Italia elenca Hysytech tra le rivendicazioni di Majinahanashi insieme ad altre quattro realtà italiane, ma si limita a elencarle.

Sull’azienda: HYSYTECH è una società di ingegneria fondata nel 2003 a Torino, attiva nella progettazione di impianti per biometano, bio-GNL e idrogeno, con la tecnologia H2GENIO. Nel 2014, con Acea Pinerolese Industriale, ha realizzato il primo impianto italiano di upgrading del biogas da frazione organica dei rifiuti urbani; nel 2020 ha messo in servizio il primo impianto di idrogeno verde da biogas da FORSU, come riportano i suoi comunicati e la stampa di settore.

Date e doppioni nelle rivendicazioni ransomware

Goccia non è stata ripubblicata da sola. Il 10 ottobre 2026 ransomware.live registra come «scoperto» un intero blocco di vittime Majinahanashi, con attacchi stimati tra il 27 giugno e il 29 agosto. Molte di quelle schede erano già state indicizzate ad agosto. Ecco alcuni esempi tratti dal registro del tracker.

Il blocco arriva otto giorni dopo il rebranding del sito di leak del 2 ottobre, e l’effetto è misurabile: il ritardo medio tra attacco e pubblicazione calcolato da ransomware.live è passato da 28,9 giorni, nel profilo di inizio settembre, a 68,8 giorni in quello di ottobre. Il risultato è un gruppo che sembra molto attivo il 10 ottobre, mentre gran parte di quel «lavoro» risale all’estate.

Serve onestà intellettuale su un punto. Non è dimostrato che il gruppo abbia voluto presentare queste schede come fresche. Parte del fenomeno può dipendere dal tracker, che ri-indicizza i post quando un sito cambia struttura o indirizzo. L’effetto per chi legge, però, è identico: vede «10 ottobre» e pensa a un attacco di questa settimana. Il caso HYSYTECH, invece, è diverso, perché il post del 2 ottobre è realmente recente.

Le statistiche ne risentono. Ransomware.live mostra 23 vittime ma include doppioni: PCA Group e Montcau compaiono due volte, una ad agosto e una a ottobre. Cyberthreatintelligence.net arriva a 42-43 vittime e definisce Majinahanashi uno dei gruppi più attivi, salvo scrivere nella stessa pagina che ne avrebbe elencate 22 da giugno. Breachsense ne contava 12-14 a fine agosto. Tre fonti, tre numeri: chiunque costruisca un report di threat intelligence su questi conteggi senza deduplicare sta contando i fantasmi due volte.

Perché un claim ransomware non verificato non è una smentita

Sulle pagine di RedPacketSecurity dedicate a Majinahanashi, compresa quella di HYSYTECH, compare un «verification alert»: le schede attribuite al gruppo sono state segnalate come contenenti rivendicazioni non verificate o fabbricate, e il post va trattato come non confermato finché non è corroborato da prove indipendenti. Il testo sembra standard a livello di gruppo, e la pagina non indica chi abbia fatto la segnalazione. Ransomware.live, nel profilo del gruppo, già a settembre invitava alla cautela perché si tratta di un gruppo emergente.

Attenzione a due errori speculari. Il primo è leggere quell’avviso come una smentita: non lo è, perché non dimostra che HYSYTECH o Goccia siano state risparmiate. Il secondo è leggere la scheda come una prova: non lo è, perché un post su un sito criminale non dimostra nulla di più di un post su un sito criminale. «Non verificato» significa esattamente questo: non sappiamo. E in sicurezza, ammettere di non sapere è il primo passo per scoprire.

Gli stessi tratti di approssimazione emergono dall’analisi di The Raven File. Il gruppo avrebbe chiesto 15.000 dollari via email, ha dichiarato che il 70% dei suoi accessi iniziali avviene tramite dispositivi di archiviazione fisici (il ricercatore commenta che sul metodo di infezione dichiarato dal gruppo non c’è da fidarsi), ha contattato il ricercatore per correggere la vittimologia, e per diverse vittime i dati non risultano disponibili. Su alcune pagine usa formule come «Servers & Hyper-V encrypted» per aumentare l’effetto spavento. Non è la prova che tutto sia finto, ma è il profilo di chi ha interesse a gonfiare.

I precedenti delle rivendicazioni ransomware riciclate

Le rivendicazioni riciclate o inventate non sono una novità, e i casi più noti sono ben documentati da ricercatori e vendor.

LockBit dopo Cronos e la quota di post riciclati

Nel report di aprile 2024 sull’impatto del takedown, Trend Micro ha rilevato che, dei 95 post comparsi dopo l’operazione, oltre due terzi erano ri-caricamenti di attacchi precedenti. Secondo Infosecurity Magazine, quasi l’80% delle voci era illegittimo: il 68% erano ripubblicazioni e il 10% vittime di altri gruppi come ALPHV e RansomHub. Un ulteriore 7% è stato rimosso rapidamente.

La falsa rivendicazione di LockBit contro la Federal Reserve

Il 23 giugno il gruppo ha rivendicato 33 TB di dati sottratti alla Federal Reserve. I dati pubblicati appartenevano invece a Evolve Bank & Trust, che ha confermato l’incidente, come riportato da BleepingComputer, The Record e Malwarebytes. Un nome altisonante e una vittima diversa.

Babuk2 e le vittime già attribuite ad altri gruppi

GuidePoint GRIT ha osservato il 27 gennaio un sito di leak con oltre 64 presunte vittime: almeno il 90% risultava già rivendicato da altri gruppi (FunkSec, RansomHub, LockBit, Meow), con almeno 57 corrispondenze esatte. Halcyon ha concluso che non c’erano prove né di nuove cifrature né di nuove intrusioni: i dati erano riciclati.

0APT e l’assenza di segnali d’intrusione

Secondo GuidePoint, il gruppo è comparso il 28 gennaio e nella settimana successiva ha pubblicato oltre 200 vittime. Su Computer Weekly (18 febbraio 2026) Jason Baker di GRIT ha riferito che almeno due presunte vittime non avevano trovato né intrusione né nota di riscatto. Il principio che GRIT ne ricava è utile: senza nota di riscatto, file cifrati o comunicazioni dirette dell’attaccante, un listing è quasi certamente fabbricato.

I vecchi batch ripubblicati da LockBit 5.0

The Raven File, lo stesso ricercatore che ha analizzato Majinahanashi, ha documentato che il 4 dicembre 2025, su 23 vittime annunciate da LockBit 5.0, dieci provenivano da un batch precedente, risalente ad aprile 2025.

Come verificare una rivendicazione ransomware nelle prime ore

Il caso Majinahanashi è utile perché offre indicatori concreti da cercare. Ecco una procedura di triage che un IT manager può eseguire con gli strumenti che ha già.

1. Catturate l’evidenza. Screenshot della scheda, hash, orari, numero di file dichiarato, eventuale campione. Una scheda può essere rimossa o modificata, la vostra copia no.
2. Confrontate il campione con i vostri dati. Controllate percorsi dei file, nomi host, nomi dei dipendenti e date dei documenti. Se i file più recenti sono vecchi di anni, è probabile un riciclo.
3. Cercate la stessa vittima altrove. Verificate se i dati compaiono su altri siti di leak o in violazioni precedenti: è esattamente il meccanismo che ha smascherato Babuk2.
4. Cercate i segnali interni delle tecniche dichiarate. Per Majinahanashi: eventi legati a vssadmin, bcdedit, wevtutil e fsutil, il servizio majinSvc, il mutex noto, l’estensione .majin, l’uso di Mimikatz e Advanced IP Scanner. Incrociate con EDR, log del firewall (picchi di traffico in uscita), VPN e autenticazioni.
5. Controllate le credenziali esposte da infostealer. Ransomware.live, appoggiandosi a Hudson Rock, segnala ad esempio 2 dipendenti compromessi sul dominio di Goccia. È un vettore plausibile, ma resta un indizio e non la prova del claim.
6. Non contattate il gruppo. Se serve parlarci, lo fanno legali e incident response, non l’amministratore di sistema con troppa buona volontà.

Sulla comunicazione, la formula più prudente è un holding statement fattuale: stiamo verificando una rivendicazione non confermata. Niente smentite assolute, perché il giorno dopo potreste doverle ritirare, e niente conferme premature. Ogni giornalista e ogni cliente capirà la differenza tra «stiamo verificando» e «non sappiamo cosa stia succedendo».

GDPR e NIS2 davanti a un claim ransomware

Un post su un sito di leak non fa partire da solo nessun termine di legge: il termine decorre dalla conoscenza della violazione o dell’incidente significativo. Un claim credibile impone però un’istruttoria immediata, e se emergono indizi concreti l’orologio corre.

GDPR, articolo 33. Il titolare notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile un rischio per gli interessati. Oltre le 72 ore la notifica va accompagnata dai motivi del ritardo. Dal 1° luglio 2021 la notifica si fa solo con la procedura telematica sul sito del Garante (servizi.gpdp.it/databreach). Il paragrafo 5 impone inoltre di documentare ogni violazione, anche quelle che non vengono notificate: documentare l’istruttoria su un claim non confermato è parte dell’obbligo di accountability.

NIS2, D.Lgs. 138/2024, articolo 25. Per un incidente significativo serve una pre-notifica al CSIRT Italia senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza, una notifica entro 72 ore e una relazione finale entro un mese. Lo confermano le FAQ di ACN, e il canale è il portale segnalazioni.acn.gov.it.

Una precisazione utile per le PMI, perché è facile sbagliare i tempi: secondo la determinazione ACN 127434/2026 e le FAQ dell’Agenzia, per i soggetti inseriti nell’elenco NIS nel 2026 l’obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027, mentre per quelli registrati nel 2025 decorre dal nono mese successivo alla notifica di inserimento. Verificate la vostra posizione invece di fidarvi del sentito dire.

Difese concrete oltre i proclami dei gruppi ransomware

Indipendentemente dalla veridicità di queste due schede, il profilo tecnico descritto da The Raven File è un buon promemoria delle difese di base. Il gruppo dichiara di cancellare backup e shadow copy: servono quindi backup offline e immutabili, testati con un ripristino vero.

Il malware tenta di terminare EDR e agenti di backup: serve un EDR con protezione anti-tampering e la sorveglianza sull’uso anomalo di strumenti come bcdedit e wevtutil. Gli accessi iniziali via credenziali rubate da infostealer sono un vettore plausibile: serve MFA ovunque, soprattutto su VPN e accessi remoti, e il monitoraggio delle credenziali aziendali esposte. Infine la segmentazione di rete, perché l’attaccante che arriva ovunque cifra tutto, mentre quello che trova porte chiuse si ferma.

HYSYTECH e Goccia: cosa resta non verificato nei claim ransomware

Tutti i dati sulle vittime provengono da tracker che indicizzano post criminali. Non esiste alcuna conferma indipendente di un’intrusione né per HYSYTECH né per Goccia: al 18 ottobre non risultano comunicati delle aziende, articoli di testate italiane o avvisi di ACN/CSIRT Italia, Polizia Postale o Garante. Fatturati e numero di file sono dichiarazioni del gruppo.

Non è provato che la ricomparsa del 10 ottobre sia una scelta deliberata del gruppo e non un effetto del crawler dopo il cambio di sito. E l’assenza di copertura italiana è una prova per assenza, valida solo alla data indicata: la storia, per quanto abbiamo potuto verificare, vive finora solo negli aggregatori automatici (ransomware.live, RedPacketSecurity, breachsense, HackNotice, Bismark.it, GalaxyWarden) e in bollettini che elencano i claim senza analizzarli.

Rivendicazioni ransomware: la lezione di date e prove

Se c’è una lezione in questa storia, è che un feed di rivendicazioni è un termometro rotto: segna sempre febbre, anche quando il paziente sta benissimo. Il lavoro vero comincia quando qualcuno confronta le date, controlla i log e si chiede da dove arrivi un numero prima di ripeterlo. La scheda di Goccia ha due mesi, quella di HYSYTECH non porta una sola prova pubblica, e nessuna delle due è, ad oggi, una violazione confermata.

Questo non vuol dire abbassare la guardia, anzi. Vuol dire alzarla nel punto giusto: non sull’hashtag del giorno, ma su backup, MFA, segmentazione e monitoraggio. Il prossimo gruppo con il nome da film horror è già in coda, e conterà su un’unica cosa: che leggiate il titolo e non la data.

Fonti

1. The Raven File, Majinahanashi Ransomware: Yet Another Japanese Locker (14/08/2026, agg. 12/10/2026): theravenfile.com/2026/08/14/majinahanashi-ransomware-another-japanese-locker/
2. Broadcom/Symantec, Protection Bulletin Majinahanashi: broadcom.com/support/security-center/protection-bulletin/majinahanashi-ransomware
3. Ransomware.live, profilo gruppo e schede Goccia e HYSYTECH: ransomware.live/group/majinahanashi
4. RedPacketSecurity, scheda HYSYTECH S.r.l. e The Margo Hotel: redpacketsecurity.com
5. Breachsense, JOY Gioielli e profilo gruppo: breachsense.com
6. GalaxyWarden, scheda Goccia S.p.A.: galaxywarden.com
7. HackNotice, HYSYTECH S.r.l. (09/10/2026): hacknotice.com/2026/10/09/hysytech-s-r-l/
8. Telsy, bollettino sugli attacchi che interessano l’Italia: telsy.com
9. PCRisk, Majinahanashi ransomware: pcrisk.com/removal-guides/35746-majinahanashi-ransomware
10. Trend Micro, Operation Cronos aftermath: trendmicro.com/en_us/research/24/d/operation-cronos-aftermath.html
11. BleepingComputer, The Record e Malwarebytes sul caso Evolve Bank / Federal Reserve (giugno 2024)
12. Halcyon, Babuk2 ransomware extortion attempts based on false claims: halcyon.ai
13. GuidePoint GRIT su Babuk2 e 0APT; Computer Weekly (18/02/2026)
14. Garante per la protezione dei dati personali, pagina Data Breach: garanteprivacy.it/data-breach
15. ACN, FAQ NIS su misure di sicurezza e notifica incidenti; portale segnalazioni.acn.gov.it
16. Sito e profilo LinkedIn di Goccia S.p.A. e HYSYTECH; comunicati istituzionali HYSYTECH