Un'infrastruttura digitale lasciata aperta svela un modello criminale con supervisione umana e automazione AI
SOCRadar ha pubblicato una ricerca, aggiornata il 23 ottobre 2026, che documenta come una serie di server pubblicamente accessibili abbia rivelato la memoria operativa e le pratiche tecniche utilizzate dagli affiliati di INC Ransomware e del gruppo noto come The Gentlemen. Dai sistemi esposti sono emersi registri, credenziali, codice sorgente, una knowledge base delle vittime e numerose sessioni di intelligenza artificiale impiegate nella fase di attacco e estorsione.
I ricercatori hanno individuato sette server accessibili partendo dall'indirizzo segnalato 45.227.254[.]43. Tra il materiale rinvenuto ci sono:
- 133 sessioni AI e 8.257 messaggi scambiati con i modelli;
- una spesa documentata di oltre 23.920 dollari per chiamate API ai modelli;
- 46 build personalizzate del ransomware INC pronte per l'uso;
- un archivio contenente dossier su 62 organizzazioni con livelli diversi di compromissione.
SOCRadar segnala che gran parte dei sistemi era ospitata nell'AS267784 di Flyservers S.A. e conservava registrazioni di attività tra luglio e settembre 2026. Dal materiale emerge un framework operativo denominato Phantom, usato per coordinare ricognizione, accessi e strumenti offensivi, mentre altri componenti, come una knowledge base e gli encryptor INC, erano predisposti per facilitare la fase di estorsione.
Un modello ibrido: automazione AI con supervisione umana
La ricerca mette in luce un modello in cui l'automazione e i modelli generativi vengono impiegati per compiti operativi — analisi dei target, generazione di comandi e preparazione delle fasi successive — mentre l'operatore umano mantiene il ruolo di supervisore e decisore. SOCRadar non attribuisce una alleanza formale tra INC e The Gentlemen, ma documenta pratiche condivise e strumenti comuni utilizzati dagli affiliati.
Importante sottolineare che non tutte le 62 organizzazioni presenti nei dossier risultano effettivamente violate: i registri distinguono ricognizioni, accessi iniziali e incidenti avanzati. Tuttavia, il materiale dimostra che gli attori criminali possono automatizzare molte fasi dell'attacco e preparare dossier estorsivi in scala, aumentando la pressione economica e organizzativa sulle potenziali vittime.
Che cosa rende significativa questa scoperta
- Trasparenza operativa: server mal configurati o lasciati esposti hanno permesso di mappare procedure, strumenti e risorse finanziarie impiegate dagli affiliati.
- Uso dell'AI: i modelli non sostituiscono l'operatore, ma amplificano capacità di ricognizione e automazione delle campagne.
- Impatto potenziale: la presenza di 46 encryptor pronti e di dossier su decine di organizzazioni indica la capacità di lanciare campagne multi‑vettore e multi‑obiettivo.
Limitazioni e precisazioni
SOCRadar chiarisce che il materiale rinvenuto non prova automaticamente che tutte le ricognizioni si siano trasformate in attacchi riusciti. Inoltre, nella ricostruzione non è affermata una collaborazione contrattuale tra tutti i gruppi citati: la documentazione descrive pratiche operative e strumenti comuni rilevati nei server esposti.
| Dato | Valore |
|---|---|
| Server esposti identificati | 7 |
| Sessioni AI documentate | 133 |
| Messaggi scambiati con i modelli | 8.257 |
| Spesa API documentata | 23.920 dollari |
| Encryptor INC trovati | 46 |
| Dossier di organizzazioni | 62 |
Conseguenze per aziende e amministrazioni
La scoperta sottolinea come errori di gestione dell'infrastruttura (server esposti, backup o log accessibili, credenziali non protette) possano fornire agli investigatori — e agli stessi criminali concorrenti — un quadro operativo molto dettagliato. Per le organizzazioni questo significa che le pratiche di hardening, il controllo degli asset pubblici e la protezione delle credenziali restano misure essenziali per ridurre la superficie d'attacco.
Infine, la combinazione di automazione AI e supervisione umana cambia il perimetro della risposta: la capacità di scalare ricognizioni e preparare estorsioni richiede alle difese di adottare monitoraggi continui e verifiche di configurazione degli asset esposti. SOCRadar fornisce nel suo report dettagli utili agli analisti per comprendere tattiche e strumenti, ma non tutte le contromisure suggerite nel documento sono riportate qui.
La ricerca rappresenta un campanello d'allarme: i criminali integrano l'intelligenza artificiale nei loro flussi operativi rendendo più efficiente la fase di ricognizione e la produzione di strumenti offensivi. Per le organizzazioni la priorità resta la riduzione della superficie esposta e il rafforzamento delle pratiche di cyber igiene.
