Dall’inizio del 2026 il CSIRT Italia ha registrato un numero significativo di attacchi ransomware attribuibili al gruppo Qilin, prevalentemente rivolti a PMI, tra cui figurano anche importanti fornitori di servizi cloud. L’accesso iniziale alle infrastrutture avviene attraverso due vettori principali: lo sfruttamento sistematico di vulnerabilità note su apparati perimetrali esposti a Internet (appliance MDM Ivanti e sistemi Fortinet) e la compromissione di credenziali VPN tramite brute force o Initial Access Broker.
Le evidenze confermano lo sfruttamento attivo delle vulnerabilità CVE-2026-1281 e CVE-2026-1340 su appliance Ivanti, e CVE-2024-21762 e CVE-2024-55591 su sistemi Fortinet. Il fenomeno è aggravato dall’assenza di autenticazione a più fattori (MFA), configurandosi come una delle principali carenze strutturali nelle organizzazioni colpite.
A maggio 2026 almeno 8 aziende italiane sono finite nei leak site di gang ransomware tra cui Qilin, inclusi uno studio professionale e diverse PMI manifatturiere. Le gang moderne restano in media 5-15 giorni dentro la rete prima di scatenare la cifratura: mappano il network, identificano i backup, rubano credenziali admin ed esfiltrano i dati prima che qualcuno si accorga di nulla.
