Trentotto organizzazioni del settore marittimo e logistico sono comparse il 12 ottobre 2026 sul sito utilizzato dalla cibergang n0n per pubblicare le proprie rivendicazioni. Il gruppo sostiene di aver sottratto dati a terminalisti, compagnie di navigazione, fornitori informatici portuali e imprese logistiche e chiede riscatti per non divulgarli. Il termine indicato per il pagamento è il 19 ottobre alle 15.27, ora italiana. Lo ha segnalato il 13 ottobre Socradar, società di cibersicurezza specializzata nell'analisi delle minacce, con un rapporto firmato da Omer Faruk Diken. Al momento della pubblicazione nessuna delle organizzazioni citate aveva confermato l'incidente.
L’elenco è formato da dodici operatori portuali e di terminal container, dieci compagnie di navigazione e armatori e un gruppo di fornitori informatici, imprese logistiche e altre aziende del settore, distribuiti in diciotto Paesi. Ci sono anche realtà industriali collegate alla filiera, come Zpmc e Dongkuk Steel. Tra i terminal figurano Santos Brasil, Portonave, Superterminais, Asyaport, Bnct, Pusan Newport Company, Tti Algeciras, Eurogate Tanger, Nct Kandla, Nam Dinh Vu Port e Neom Ports. Sul versante armatoriale compaiono Ocean Network Express, Cu Lines, T.S. Lines, Polaris Shipping, Dong-A Tanker, Camellia Line e Samudera, mentre i fornitori di sistemi e consulenza comprendono Gncnet/Dgt Busan, Gcs Kuwait, Ilcs Pelindo, Hpc Hamburg Port Consulting e T2S. Completano la lista operatori logistici e di servizi come Eusu Logistics, Yusen Logistics Hong Kong, Saehan Marine, April Asia, GlobalNet Lcl e Bmt Iq.
Socradar dubita che le 38 rivendicazioni corrispondano ad altrettante intrusioni indipendenti. Negli archivi esaminati, di dimensioni comprese tra 60 MB e 2,4 GB, ricorrono contenuti simili e per molte delle organizzazioni citate non risultano corrispondenze negli archivi di credenziali sottratte da malware per il furto di informazioni consultati dalla società. I dati potrebbero quindi provenire da un software utilizzato da più operatori, da un servizio centralizzato oppure da un unico archivio contenente documenti di aziende diverse. Nel descrivere il possibile meccanismo, Socradar richiama il caso di MOVEit, il software di trasferimento file attraverso il quale il gruppo Cl0p, dal 27 maggio 2023, sfruttò la vulnerabilità Cve-2023-34362 per accedere ai dati di numerose organizzazioni, come documentato dall'agenzia statunitense Cisa. La società precisa di non avere prove di un collegamento tra n0n e quelle campagne.
Il materiale che sarebbe stato sottratto è di natura operativa e commerciale e varia da un'azienda all'altra. Le schede parlano di archivi di messaggi Edi, manifesti dei container, programmi delle navi, registrazioni dei movimenti ai varchi, prenotazioni e documenti di interscambio delle attrezzature, ma anche di configurazioni dei sistemi interni, documentazione di rilascio e installazione del software, account dei dipendenti e dati finanziari. Tra questi ultimi figurano calcoli dei costi bunker, conteggi di demurrage e despatch e conti delle spese portuali. Le richieste esaminate da Socradar vanno da 2,4 a 14 milioni di dollari. La più alta riguarda Eusu Logistics: 14 milioni di dollari (circa 12,5 milioni di euro) per un archivio dichiarato di 60 MB. A Ilcs Pelindo il gruppo chiede 2,4 milioni di dollari (circa 2,1 milioni di euro) per 2,4 GB, a Eurogate Tanger 6 milioni (circa 5,4 milioni di euro), con un versamento preliminare del 10%, pari a 600mila dollari (circa 536mila euro), per accedere a uno spazio riservato di negoziazione. In cambio del pagamento la cibergang promette la distruzione dei dati.
Il gruppo n0n è apparso recentemente, a settembre 2026, e si distingue da molte cibergang tradizionali, perché il suo modello operativo sembra concentrarsi quasi esclusivamente sul furto di dati e sull'estorsione, tralasciando (o usando solo marginalmente) la cifratura distruttiva che paralizza operativamente le aziende. Per aumentare al massimo lo stress psicologico delle vittime, le schede pubblicate da n0n recano un'etichetta esplicita "NOT PAID, EXPOSED" insieme al conto alla rovescia in tempo reale, funzionando come un vero e proprio tabellone segnapunti pubblico aperto a chiunque navighi sul loro sito nel Dark Web.
Antonio Illariuzzi
