Akira (RaaS) — TTP da advisory congiunto CISA/FBI/NCSC-NLhigh
Akira, il ransomware che entra dalla porta rimasta aperta
Akira non è una novità: opera dal marzo 2023 con il modello ransomware-as-a-service ed è uno dei gruppi più prolifici in circolazione. L'advisory congiunto di CISA, FBI e NCSC olandese, aggiornato a novembre 2025, parla di oltre 342 organizzazioni colpite e di circa 244 milioni di dollari di proventi. A luglio 2026 il suo sito di rivendicazioni ha aggiunto nuovi nomi. Il filo che tiene insieme la storia è banale e per questo istruttivo: Akira entra quasi sempre da accessi remoti mal protetti, non da magie tecniche.
Un gruppo vecchio di due anni, e ancora efficace
Nel racconto quotidiano del ransomware c'è una distorsione: si insegue il nome nuovo. Akira ricorda perché è un errore. È attivo dal marzo 2023, funziona come ransomware-as-a-service — un nucleo che sviluppa il malware e affiliati che conducono gli attacchi in cambio di una quota — e non ha mai smesso. L'advisory congiunto di CISA, FBI e Centro nazionale per la sicurezza informatica dei Paesi Bassi, nella versione aggiornata al 13 novembre 2025, mette in fila i numeri: oltre 342 organizzazioni colpite dall'inizio, circa 244 milioni di dollari di proventi stimati a fine settembre 2025. Non è un esordiente. È un'industria.
Come entra: quasi sempre dalla stessa porta
La parte tecnicamente interessante di Akira è quanto poco sia interessante. Secondo l'advisory, l'accesso iniziale arriva in prevalenza da servizi remoti mal protetti: VPN senza autenticazione a più fattori, sfruttando vulnerabilità note come le CVE-2020-3259 e CVE-2023-20269 di prodotti Cisco, oppure campagne di phishing e credenziali già compromesse usate contro il Remote Desktop Protocol. È il ritratto di un intruso che non scassina, ma prova le maniglie: dove trova una porta remota accessibile senza un secondo fattore, entra.
Una volta dentro, il copione è quello della doppia estorsione: i dati vengono prima esfiltrati e poi cifrati, così che la vittima abbia due motivi per pagare — riavere i file e impedirne la pubblicazione. Fin dall'aprile 2023 esiste una variante Linux pensata per le macchine virtuali VMware ESXi, il che sposta il bersaglio dai singoli computer al cuore della virtualizzazione di un'azienda.
- 01VPN o RDP espostisenza MFA, o con credenziali già rubate
- 02Movimento ed esfiltrazionei dati escono prima della cifratura
- 03Doppia estorsioneriscatto per decrittare e per non pubblicare
Le rivendicazioni di luglio, con la cautela dovuta
A luglio 2026 il sito di rivendicazioni di Akira ha aggiunto nuovi nomi, tra cui — secondo i servizi che monitorano i leak site — un contractor edile-meccanico statunitense e un'azienda di trasporti, con la consueta minaccia di pubblicare i dati in assenza di trattativa. Qui serve la stessa disciplina che applichiamo a ogni leak site: sono affermazioni del gruppo criminale, non conferme delle vittime. Un nome su un sito di estorsione significa che qualcuno rivendica un attacco, non che l'attacco sia stato verificato in modo indipendente. Le riportiamo come rivendicazioni, e come tali vanno lette finché non emergono conferme dirette.
Quello che invece non è in dubbio è il metodo, ed è lì che sta la lezione utile. Gli identificatori MITRE ATT&CK di questo dossier (T1190, T1133, T1486, T1567) sono quelli documentati nell'advisory, non una nostra deduzione. E indicano una difesa che non richiede tecnologia esotica: autenticazione a più fattori su ogni accesso remoto, patch sulle VPN esposte, monitoraggio delle esfiltrazioni e backup che un attaccante non possa raggiungere. Akira prospera dove queste cose mancano. È un gruppo vecchio di due anni che continua a incassare perché la porta, in troppi posti, è ancora aperta.
