Il 23 ottobre 2026 il gruppo ransomware Qilin ha inserito Coop Italia nel proprio sito di leak, dichiarando di aver copiato circa 250 GB di dati. Il 27 ottobre il gruppo Everest ha fatto lo stesso con Natuzzi, il produttore di divani di Santeramo in Colle. Sono rivendicazioni pubblicate dai criminali: al momento in cui scriviamo nessuna delle due aziende ha confermato un attacco, e non abbiamo trovato comunicazioni pubbliche sui loro siti.
In breve
- Chi è colpito: secondo i gruppi criminali, Coop Italia, Natuzzi e una quindicina di altre organizzazioni elencate come italiane dal 15 ottobre; nessuna conferma dalle aziende.
- Gravità: non valutabile finché le aziende non chiariscono; Qilin parla di contratti, dati di vendita e documenti personali.
- Sfruttata: non applicabile; sono rivendicazioni, non incidenti confermati.
- Cosa fare: clienti e dipendenti, attenzione a email e SMS che citano i marchi coinvolti; aziende, i cinque controlli anti-ransomware in fondo.
Coop Italia: cosa dice Qilin e cosa non sappiamo
La voce è comparsa sul sito di Qilin il 23 ottobre alle 9:20 italiane, come registra ransomware.live. Secondo la ricostruzione di Pasquale Pillitteri, che cita Hackmanac, i campioni pubblicati dal gruppo comprendono accordi commerciali, report finanziari e di vendita, presentazioni interne e documenti personali, senza indicazione di chi siano. Hackmanac classificava la rivendicazione «in attesa di verifica». Coop non ha confermato e non è chiaro quale società del sistema Coop, fatto di cooperative distinte, sarebbe coinvolta. Gli attacchi ai banchi frigo dei supermercati Coop siciliani del 2 novembre, raccontati in https://hardwarfare.it/sicurezza-informatica/attacchi-data-breach/attacchi-frigoriferi-supermercati-italia-acn-misure/, sono un episodio diverso, senza collegamenti noti con questa rivendicazione.
Il volume di 250 GB arriva dal post di Hackmanac e nessuno lo ha verificato. Per confronto, il progetto RedACT di ransomNews, ripreso da Security Affairs, indica in 61,1 GB la media dichiarata nelle rivendicazioni italiane del primo semestre, calcolata solo sui casi in cui il dato era indicato: un valore da prendere con cautela, perché non torna con gli altri numeri riportati nello stesso articolo.
Natuzzi e le altre rivendicazioni
Everest ha pubblicato il nome di Natuzzi il 27 ottobre, insieme a quello di TECNA ICE, senza indicare volumi di dati. Non abbiamo trovato dichiarazioni dell’azienda. Questa è la lista completa delle voci attribuite all’Italia sul tracciatore ransomware.live dal 15 ottobre al 3 novembre:
| Data | Gruppo | Vittima rivendicata |
|---|---|---|
| 15 ottobre | spacebears | Alma Center Servizi Medicali |
| 18 ottobre | Qilin | Mastelli S.r.l. |
| 23 ottobre | Qilin | Coop Italia |
| 23 ottobre | AuditTeam | Zena Office |
| 23 ottobre | LockBit 5 | dorsiacademy.it |
| 24 ottobre | Majinahanashi | CFG Serramenti, Tema Energy, Albertin Alcide e Figli |
| 26 ottobre | aurora | Ernesto Malvestiti S.p.A. |
| 27 ottobre | Everest | Natuzzi, TECNA ICE |
| 28 ottobre | Panzer | PQE Group |
| 29–30 ottobre | emperador | La Profumeria Srl, Studio Stelitano e Associati |
| 31 ottobre | The Gentlemen | SOME Srl, Spontini |
| 3 novembre | PixelLeaks | vittima non nominata |
Il tracciatore elenca anche due voci classificate come italiane che, dalle descrizioni, non lo sono: uno studio legale statunitense e una clinica dentale in Messico. È un buon promemoria: questi elenchi sono raccolte automatiche dai siti dei criminali, utili per il quadro generale ma non prove.
Come leggere una rivendicazione
Un nome sul sito di leak dice che il gruppo vuole far credere di aver colpito quell’azienda, di solito per spingerla a pagare. A volte i dati sono veri e recenti, a volte vecchi o presi da un fornitore, a volte la rivendicazione è gonfiata. Per questo scriviamo “rivendica” e non “colpisce”, non pubblichiamo né colleghiamo i dati e aggiorneremo l’articolo se Coop o Natuzzi diffonderanno una comunicazione. Qilin resta tra i gruppi più attivi contro l’Italia: nel primo semestre 2026 RedACT gli attribuisce 21 delle 148 rivendicazioni contro organizzazioni italiane, alla pari con LockBit 5.
Cosa fare
- Clienti e soci: diffidate di email, SMS o telefonate che citano Coop o Natuzzi e chiedono dati, pagamenti o di “verificare l’account”. Le notizie di attacco sono un’esca classica per il phishing.
- Dipendenti delle aziende citate: segnalate al vostro ufficio IT messaggi insoliti e cambiate le password riusate altrove.
- Aziende: autenticazione a più fattori su VPN e posta elettronica.
- Backup offline o immutabili, con prove di ripristino periodiche.
- Patch rapide degli apparati di frontiera (VPN, firewall), gli ingressi più usati; sistemi di rilevamento e risposta sugli endpoint e una rete segmentata, perché un PC compromesso non arrivi ai server.
La nostra lettura
Un mese di rivendicazioni italiane racconta soprattutto PMI manifatturiere e studi professionali, con due nomi noti al grande pubblico. Che Coop e Natuzzi non abbiano detto nulla non prova né smentisce l’attacco: in Italia il silenzio aziendale è la norma, anche quando poi arrivano le notifiche al Garante. Chi ha dati personali presso queste aziende ha diritto a sapere se sono stati coinvolti. Gli aggiornamenti sono in https://hardwarfare.it/category/sicurezza-informatica/malware-ransomware/.
Fonti
Immagine di copertina: Coop Chiavari.jpg di Balfabio, licenza CC BY-SA 3.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
