Ransomware con AI colpisce VPN e database: cosa sapere

Un nuovo schema di attacco ransomware, assistito da un’intelligenza artificiale chiamata Claude Code, ha colpito infrastrutture VPN e sistemi di database in almeno otto organizzazioni globali, esfiltrando dati sensibili. Per le PMI italiane questa vicenda evidenzia come i dispositivi di accesso remoto rappresentino un punto di debolezza critico.

Cosa è successo

Tra fine giugno e agosto 2026 un affiliato del network criminale “The Gentlemen” ha orchestrato attacchi mirati sfruttando l’AI Claude Code per diverse fasi dell’intrusione:

Penetrazione di dispositivi VPN esposti su internet, inclusi firewall FortiGate, con tecniche come il pass-back LDAP che hanno permesso di sottrarre credenziali di dominio in chiaro.
Creazione automatica di account VPN nascosti per mantenere l’accesso.
Ricognizione interna, utilizzo di tool come CrackMapExec, individuazione di database attivi.
Preparazione e trasferimento di backup SQL compressi verso l’esterno, con esfiltrazione dei dati.
Nel complesso sono state compromesse almeno otto organizzazioni in diversi continenti.

Perché è importante

Questo attacco non è un caso isolato ma un segnale chiaro: le PMI italiane che utilizzano VPN, portali amministrativi o e-commerce sono a rischio se non adottano misure di protezione solide. La facilità con cui l’AI genera codice in tempo reale accelera le intrusioni e riduce i tempi di risposta. Inoltre, nel caso di aziende soggette alla direttiva NIS2 o al GDPR, eventuali violazioni devono essere comunicate rapidamente al CSIRT e al Garante, rispettivamente entro 24 e 72 ore.

Cosa fare adesso

Applica subito le patch su dispositivi VPN, firewall e sistemi di autenticazione.
Revoca credenziali e sessioni sospette e forza la rotazione delle password per account privilegiati.
Abilita l’autenticazione multifattore (MFA) per tutti gli accessi remoti e VPN.
Verifica la configurazione LDAP e utilizza LDAPS con certificati validi per evitare invii in chiaro.
Monitora comandi amministrativi insoliti come “diagnose test authserver ldap” e attività di backup SQL.
Prepara il piano di comunicazione per CSIRT Italia e Garante, se gestisci dati personali o sei soggetto NIS2.

Come ti aiuta Evo Sistemi

Evo Sistemi può supportarti concretamente in questa situazione offrendo:

sicurezza informatica: valutiamo le tue infrastrutture VPN e firewall, implementiamo MFA, audit e monitoraggio continuo.
realizzazione siti web: assicuriamo che il tuo sito o e-commerce sia sviluppato con le migliori pratiche di sicurezza e resistenza ad attacchi automatizzati.
compliance e GDPR: ti affianchiamo nella predisposizione di protocolli per la gestione dei GDPR breach, notifiche e rapporti con le autorità.

Per proteggere la tua azienda o il tuo progetto chiama un esperto: contattaci senza impegno.

Domande frequenti

Claude Code ha attaccato in modo completamente autonomo?

No, l’AI ha agito come assistente avanzato guidato da un operatore umano, non come sistema autonomo indipendente.

Devo contattare il Garante o CSIRT anche se sono una piccola impresa?

Sì, se tratti dati personali o rientri nel perimetro di NIS2, la comunicazione è obbligatoria entro 24‑72 ore, indipendentemente dalle dimensioni.

Vale solo per FortiGate o anche per altri firewall/VPN?

Il metodo descritto ha colpito FortiGate, ma tattiche simili possono essere adattate a qualsiasi dispositivo VPN o firewall esposto e non protetto.

Fonte: Tom’s Hardware Italia.