Il 18 ottobre 2026, poco prima di pranzo, sul data leak site del gruppo ransomware Qilin è comparsa una nuova scheda: Mastelli S.r.l., Sanremo, Italia. Nessun comunicato stampa, nessun titolo sui giornali, nessuna conferma. Solo una voce in più in un elenco che quest’anno si allunga a un ritmo che dovrebbe togliere il sonno a parecchi consigli di amministrazione. La rivendicazione è stata registrata in modo indipendente da almeno sei tracker internazionali — ransomware.live, Ransomfeed, Hackmanac, DeXpose, Breachsense, ransomNews — tutti nell’arco della stessa mattinata. Quindi il post esiste, su questo non ci piove.
Indice degli argomenti
La rivendicazione del ransomware Qilin su Mastelli resta senza conferme
Quello che invece non esiste, al momento in cui scrivo, è tutto il resto. Nessuna cifra sui dati che sarebbero stati esfiltrati, nessun campione pubblicato come prova, nessun countdown, nessuna scadenza. E soprattutto: nessuna parola da Mastelli, nessuna nota di ACN o del Garante, nemmeno un trafiletto sulla stampa ligure. Hackmanac classifica il caso come “pending verification”, che in italiano suona come “fidarsi è bene, verificare è meglio”.
Vale la pena fermarsi un attimo su questo punto, perché qui sta metà della storia: un post su un leak site è una dichiarazione di un gruppo criminale, non un verbale della polizia postale. I gruppi ransomware mentono quando gli conviene, riciclano vecchi data breach, gonfiano i numeri, a volte rivendicano aziende mai toccate solo per fare pressione.
La data del 18 ottobre, poi, è la data della pubblicazione, non dell’intrusione: statisticamente, tra il momento in cui un affiliato Qilin entra in una rete e il momento in cui la vittima finisce sul leak site passano in media una sessantina di giorni. Se l’attacco è reale, qualcuno camminava nei sistemi di Mastelli già a fine estate, mentre tutti pensavamo alle ferie.
Mastelli, il ransomware e il valore del know-how farmaceutico
Mastelli non è la solita PMI anonima che finisce nei bollettini. È una società benefit farmaceutica fondata a Sanremo nel 1952, che da settant’anni lavora su una nicchia molto specifica: i polinucleotidi e i polidesossiribonucleotidi (PDRN), frazioni di DNA usate in medicina rigenerativa, dermatologia, wound healing, ortopedia. L’azienda si presenta come l’originator mondiale dell’uso delle frazioni di DNA in medicina e controlla l’intera filiera, dalla materia prima al prodotto finito. Tradotto dal marketing al rischio: formulazioni proprietarie, processi di estrazione e purificazione, dossier regolatori, dati di studi clinici. Roba che non si ricompra su Amazon se qualcuno te la porta via.
Crescita, proprietà intellettuale e vantaggio competitivo
E i numeri raccontano un’azienda in piena corsa: dai 29,6 milioni di fatturato del 2023 ai 40,5 del 2024, fino ai 55,1 milioni del 2025, con un utile netto vicino ai 15 milioni. Prima azienda di Sanremo per fatturato, export in crescita tramite distributori esteri, presenza alle fiere internazionali di settore.
Ora mettetevi per un momento nei panni di un affiliato Qilin che sceglie il prossimo bersaglio: una PMI molto redditizia, con proprietà intellettuale concentrata in una nicchia globale, produzione in regime GMP che non può permettersi fermi, e — come la stragrande maggioranza delle medie imprese italiane — verosimilmente senza un SOC che monitora la rete alle tre di notte.
Non è un bersaglio casuale: è un bersaglio sartoriale. Il punto che dovrebbe interessare ogni imprenditore italiano è proprio questo: nel pharma il ransomware non cifra solo file, cifra il vantaggio competitivo. Un gestionale si ripristina dal backup; un brevetto finito all’asta sul dark web, o venduto a un concorrente — pratica che Qilin stessa ha dichiarato pubblicamente di adottare — non torna indietro con nessun restore.
Il ransomware Qilin e il modello industriale del ricatto
Chi è Qilin lo sanno ormai anche i muri, almeno quelli dei SOC. Nato a metà 2022 con il nome Agenda e payload scritti in Go, poi riscritto in Rust con varianti dedicate agli hypervisor VMware ESXi, è un ransomware-as-a-service di matrice russofona: il gruppo fornisce malware, infrastruttura e leak site, gli affiliati fanno il lavoro sporco e trattengono l’80% dei riscatti fino a 3 milioni di dollari, l’85% sopra. Un franchising, con tanto di regolamento interno: vietato colpire i paesi dell’ex blocco sovietico.
Il pannello degli affiliati è un piccolo gestionale del crimine: modalità di cifratura multiple, esecuzione in safe mode per aggirare gli EDR, funzione DDoS integrata, spam telefonico per fare pressione, “giornalisti” interni che confezionano i post del leak site. E dal giugno 2025 c’è pure il pulsante “Call Lawyer”: l’affiliato preme un bottone e un sedicente legale entra in trattativa per spiegare alla vittima quanto le costerà il GDPR se non paga. La consulenza normativa come servizio di estorsione. Geniale, nel senso peggiore del termine.
Perché Qilin punta sulle imprese italiane
I numeri del 2026 spiegano perché questa rivendicazione va presa sul serio anche senza conferme: oltre mille vittime rivendicate nel 2025, primo gruppo al mondo per volume per gran parte dell’anno in corso, con un picco di 131 vittime nel solo marzo 2026.
E l’Italia è terreno di caccia privilegiato: secondo i dati ACN del primo semestre, Qilin è il primo gruppo per rivendicazioni contro soggetti italiani, e a maggio il CSIRT Italia gli ha dedicato un bollettino con impatto classificato “Critico”, segnalando una campagna sistematica contro le PMI nazionali. Solo nelle ultime settimane il gruppo ha rivendicato, tra gli altri, Melchioni, Coop Italia e Unicoop Etruria. Mastelli, se la rivendicazione è fondata, non sarebbe un’eccezione: sarebbe la regola.
Come Qilin può entrare nei sistemi di una PMI
E qui arriva la parte che ogni responsabile IT di una PMI dovrebbe stamparsi e appendere in ufficio, perché il copione degli affiliati Qilin è noto e documentato, ed è deprimente nella sua banalità. Non parliamo di zero-day esotici da film: parliamo di VPN aziendali senza autenticazione a più fattori, violate con credenziali comprate per pochi dollari dagli initial access broker o indovinate a forza bruta. Parliamo di appliance Fortinet e Ivanti lasciate senza patch per mesi dopo la pubblicazione delle vulnerabilità — il bollettino CSIRT di maggio cita esplicitamente CVE note su FortiOS e su Ivanti EPMM come vettori della campagna italiana.
Secondo PRODAFT, lo sfruttamento dei FortiGate esposti è stato persino automatizzato: la macchina trova la porta aperta, l’umano sceglie solo se la vittima merita l’attenzione. Capito il livello? Il vostro firewall non aggiornato è un annuncio immobiliare.
Dalle credenziali agli hypervisor ESXi
Una volta dentro, la sequenza è quasi liturgica: furto di credenziali, spesso abusando di installazioni Veeam vulnerabili — ironia della sorte, proprio il software dei backup diventa il forziere delle password — poi neutralizzazione dei backup stessi, esfiltrazione dei dati con strumenti perfettamente legittimi come Rclone, WinSCP o FileZilla (che nessun antivirus degno di nota fermerà mai, perché sono tool da sistemista), disattivazione degli EDR con driver vulnerabili portati dall’attaccante, e infine la cifratura degli hypervisor ESXi: non i singoli PC, ma la piattaforma che regge tutte le macchine virtuali dell’azienda. Un colpo solo, e l’intera infrastruttura diventa un fermacarte.
La doppia estorsione fa il resto: anche chi ha backup perfetti e ripristina tutto in un weekend si ritrova comunque con i propri dati in mano a qualcun altro, e con la minaccia di vederli pubblicati. Il backup salva la continuità operativa, non la riservatezza. Sono due problemi diversi, e il secondo non si risolve con un NAS.
Mastelli e i rischi del ransomware nel settore farmaceutico
Per capire cosa può significare un attacco Qilin nel mondo farmaceutico e sanitario non serve la fantasia, basta la memoria. Giugno 2024, Londra: il gruppo colpisce Synnovis, il fornitore dei servizi di patologia di due grandi ospedali del NHS. Risultato documentato: oltre diecimila appuntamenti ambulatoriali e circa millesettecento interventi rinviati, quasi seicento incidenti registrati sulla sicurezza dei pazienti, un costo stimato in 32,7 milioni di sterline a bilancio, una richiesta dichiarata di 50 milioni di dollari di riscatto e — un anno dopo — la conferma di un decesso a cui l’attacco ha contribuito.
Quando si dice che il ransomware in sanità non è un problema informatico ma un problema di vite, non è retorica da conferenza: è un referto.
Produzione GMP, supply chain e obblighi di notifica
Per un’azienda farmaceutica manifatturiera lo scenario ha sfumature sue, tutte sgradevoli. Il fermo dei sistemi gestionali e di produzione in un ambiente GMP non è un disagio, è un problema regolatorio: tracciabilità dei lotti, rilascio dei prodotti, catena del freddo, farmacovigilanza da garantire anche a sistemi spenti. La supply chain verso distributori e farmacie si inceppa — e il 2026 italiano lo ha già mostrato, con gli attacchi ai distributori farmaceutici di fine maggio.
E poi c’è la proprietà intellettuale, che per un’azienda come quella rivendicata vale più dell’hardware di dieci stabilimenti. Sul fronte normativo, infine, il quadro è stringente: se un attacco coinvolge dati personali scatta la notifica al Garante entro 72 ore ai sensi dell’art. 33 GDPR; e un produttore farmaceutico delle dimensioni di Mastelli ricade verosimilmente nel perimetro NIS2 come soggetto importante, con obbligo di pre-notifica al CSIRT entro 24 ore e notifica entro 72 per gli incidenti significativi — obblighi operativi dal gennaio 2026.
Attenzione però a non confondere i piani: queste notifiche non sono pubbliche. Il silenzio di un’azienda non dimostra che non abbia notificato, né il contrario. Dimostra solo che non ha ritenuto di parlarne con noi.
Qilin e Mastelli: distinguere la rivendicazione dall’attacco
Una nota di metodo, che è anche una lezione di cybersicurezza. In questo articolo troverete sempre “Qilin rivendica”, mai “Mastelli è stata attaccata”. Non è pignoleria da redazione: è igiene informativa. La fonte primaria di questa notizia è il sito di un’organizzazione criminale che ha un interesse economico diretto a farvi credere di avere i dati, tutti i dati, i dati più sensibili. Rilanciare una rivendicazione come fatto compiuto significa fare gratis il lavoro di pressione che il gruppo pagherebbe volentieri.
Ho visto in giro aggregatori automatici che già titolano sull’infezione da infostealer come causa dell’attacco, basandosi su indicatori di esposizione del dominio che non fanno parte della rivendicazione e che non provano nulla sul vettore d’ingresso. Ecco, questo è esattamente il modo sbagliato di raccontare queste storie. Verificare costa tempo; inventare costa credibilità. E nel mio mestiere la credibilità è l’unico asset che non si ripristina dal backup.
Le difese operative per le PMI italiane
Detto ciò, aspettare conferme non significa restare a guardare. Se gestite una PMI italiana — farmaceutica o no — questa storia vi riguarda a prescindere da come finirà, e le lezioni operative sono già tutte sul tavolo.
La MFA su ogni accesso remoto, VPN in testa, non è più un consiglio: è il minimo sindacale, perché le credenziali dei vostri dipendenti sono probabilmente già in vendita da qualche parte. Le patch sulle appliance esposte — firewall, VPN concentrator, gateway di mobile management — vanno applicate in giorni, non in trimestri, perché lo sfruttamento ormai è automatizzato e la finestra di grazia non esiste più.
I backup servono offline o immutabili, segregati dalle credenziali di dominio, perché gli affiliati Qilin i backup raggiungibili li cercano apposta, e li trovano. E serve un piano per lo scenario in cui i dati sono già fuori: chi chiamare, cosa notificare, chi parla e chi tace, provato prima, non improvvisato durante, magari con un finto avvocato criminale al telefono che vi recita il GDPR. Mastelli, se l’attacco è reale, sta vivendo in queste ore esattamente quel copione.
La domanda da farsi stasera non è se la rivendicazione sia vera — lo scopriremo. È un’altra: se domattina sul leak site ci fosse il nome della vostra azienda, quanti di questi compiti a casa risulterebbero fatti?
Rivendicazione del 18 ottobre 2026 tracciata da ransomware.live, Ransomfeed, Hackmanac, DeXpose, Breachsense e ransomNews; nessuna conferma da Mastelli o dalle autorità al 27 ottobre 2026. Contesto: bollettino CSIRT Italia BL01/260528 (maggio 2026), dati ACN primo semestre 2026, Group-IB, PRODAFT, Cybereason; caso Synnovis: Digital Health News, Companies House, dichiarazione governativa UK HCWS1046.
Partecipa alla community