Il caso DevMan conferma un salto di qualità nel cybercrime: il ransomware non è più solo malware, ma un servizio organizzato con portale web, regole operative, gestione degli affiliati e pagamenti ripartiti in modo automatico. Per un’azienda questo significa una cosa molto concreta: gli attaccanti lavorano con processi sempre più simili a quelli di un fornitore digitale, e quindi possono colpire con maggiore velocità, continuità e disciplina.
Il tema riguarda da vicino anche le PMI italiane, perché quando un attacco viene industrializzato diminuisce la barriera d’ingresso per i criminali e aumenta la probabilità di campagne più frequenti, meglio coordinate e più difficili da fermare in tempo.
Cosa è emerso sul portale DevMan
Secondo un rapporto di PRODAFT, società svizzera di cybersecurity, gli operatori del ransomware-as-a-service DevMan hanno mantenuto una piattaforma dedicata per i loro affiliati. La notizia è stata riportata da The Hacker News il 25 luglio 2026.
L’elemento più importante non è soltanto l’esistenza del gruppo, ma il livello di centralizzazione raggiunto. Il portale, infatti, riuniva in un unico ambiente diverse funzioni operative: generazione dei payload, gestione economica, chat con le vittime, supporto, registri dei casi, creazione di team e meccanismi di pagamento.
In altre parole, non si parla di cybercriminali che coordinano le attività in modo artigianale via chat, ma di un’infrastruttura strutturata per seguire l’intero ciclo dell’attacco. PRODAFT evidenzia proprio questo punto: il gruppo ha cercato di formalizzare il lavoro degli affiliati e di gestire più intrusioni tramite una piattaforma comune.
Perché questo modello è più pericoloso
Il modello ransomware-as-a-service non è nuovo, ma il caso DevMan mostra quanto si stia evolvendo. Un portale di questo tipo riduce l’improvvisazione e aumenta l’efficienza criminale su più fronti.
Primo: semplifica l’accesso operativo agli affiliati. La piattaforma integrava anche elementi legati all’access brokerage o alla distribuzione di accessi, cioè la possibilità di lavorare su reti già compromesse o su accessi forniti dal programma stesso.
Secondo: impone tempi e procedure. Dalle informazioni riportate, gli amministratori chiedevano agli affiliati se avrebbero usato accessi personali o forniti dal programma e imponevano finestre di completamento di due o tre giorni. Questo dettaglio è importante perché indica una regia centrale capace di aumentare la pressione sull’attacco.
Terzo: limita l’autonomia degli affiliati quando serve. Il gruppo poteva intervenire nelle conversazioni con le vittime se l’affiliato non si comportava come previsto o non rispettava gli impegni. Questo riduce gli errori e protegge i ricavi del programma.
Per le imprese, il risultato è semplice da capire: dietro un singolo episodio ransomware oggi può esserci una macchina organizzativa che assegna ruoli, misura prestazioni, distribuisce accessi e accelera l’esecuzione.
L’evoluzione di DevMan in pochi passaggi
Le analisi citate indicano che DevMan è comparso nell’aprile 2025 come affiliato di vari gruppi, tra cui Qilin, DragonForce, Apos e RansomHub, prima di passare a una propria operazione RaaS. Vectra AI aveva già notato nell’ottobre 2025 una parentela tecnica molto stretta con DragonForce.
Nel giugno 2025 l’operazione ha subito un contraccolpo dopo la pubblicazione di dati sugli operatori da parte di un whistleblower che si faceva chiamare GangExposed. Questo avrebbe provocato l’abbandono di alcuni affiliati. Nonostante ciò, la piattaforma non si è semplicemente fermata: anzi, è stata aggiornata.
La versione 3 del portale, rilasciata a gennaio 2026, aggiungeva funzioni ancora più mature: schede vittima strutturate, stati del ciclo di vita, creazione dei team, controlli sugli inviti, opzioni di build per singola vittima, scadenze, campi per i ricavi e accesso condiviso tra operatori.
Questo dettaglio merita attenzione: quando una piattaforma criminale evolve verso versioni successive con funzionalità sempre più amministrative, significa che il problema non è episodico ma gestito con logica di prodotto.
Numeri, ruoli e governance interna
PRODAFT ha identificato cinque ruoli distinti nell’operazione, a conferma di una struttura gerarchica. Tra questi, figurano un amministratore o coordinatore centrale, un referente per gli accessi di rete, operatori senior e almeno un affiliato operativo.
Anche il modello di reclutamento era regolato. Gli affiliati venivano aggiunti a una chat aziendale solo dopo aver prodotto una prima vittima e ricevevano l’affiancamento di un curatore esperto. Se per un mese non portavano nuovi risultati, potevano essere rimossi.
Il piano economico seguiva una divisione 80-20 a favore dell’affiliato. Le regole della versione 3 prevedevano inoltre che il pagamento del riscatto fosse inviato a due wallet distinti: uno per l’affiliato e uno per il programma RaaS.
Anche questo aspetto ha un significato preciso per chi gestisce un’azienda: il cybercrime sta adottando processi di incentivazione, controllo qualità e revenue sharing. Non è solo “pirateria informatica”, ma un ecosistema illegale che punta alla scalabilità.
I settori colpiti e lo stato attuale del gruppo
Secondo i dati riportati da Ransomware.Live, il gruppo ha rivendicato 184 vittime complessive. Non risultano nuove vittime dopo il 4 febbraio 2026. Quasi 50 vittime si trovano negli Stati Uniti, e i settori più colpiti includono tecnologia, sanità, servizi finanziari, servizi professionali e pubblica amministrazione.
PRODAFT ha dichiarato di non avere prove solide sulle ragioni dell’interruzione dell’operazione come RaaS. Tuttavia, la società ritiene con confidenza moderata che l’attore dietro il nome DevMan sia ancora attivo, non più come leader di un programma di partnership ma come affiliato di altri gruppi ransomware.
Per le aziende questa distinzione è importante: la chiusura apparente di un brand criminale non coincide necessariamente con la scomparsa delle competenze, delle relazioni e delle tecniche usate negli attacchi. Gli operatori possono spostarsi, riorganizzarsi o ricomparire altrove.
Un segnale preoccupante: infrastrutture critiche e SCADA
Tra gli elementi più allarmanti emersi nelle analisi c’è il riferimento a un encryptor separato per sistemi SCADA e l’esplicito incoraggiamento agli attacchi contro infrastrutture critiche. Nelle informazioni riportate si parla anche di precedenti dichiarazioni del gruppo sullo sviluppo di un locker specializzato per ambienti industriali.
Per molte PMI questo può sembrare un problema distante, riservato a utility o grandi impianti. In realtà non è così. Le filiere industriali sono interconnesse: fornitori, manutentori, software house, studi tecnici e partner logistici possono diventare punti di ingresso o bersagli indiretti. Un’azienda manifatturiera di medie dimensioni, un integratore o un fornitore con accesso remoto a clienti industriali può trovarsi esposto ben oltre il proprio perimetro.
Cosa significa per la tua azienda
La lezione più pratica del caso DevMan è che la difesa non può basarsi sull’idea che gli attaccanti siano improvvisati. Se i criminali operano con portali, workflow, ruoli e scadenze, anche l’azienda deve rispondere con metodo.
Ecco le priorità concrete per una PMI italiana:
-
Ridurre i punti di ingresso
Verifica accessi remoti, credenziali privilegiate, account non più utilizzati, VPN, desktop remoti esposti e fornitori che entrano nei sistemi aziendali. Molti attacchi ransomware partono proprio da accessi deboli o già compromessi. -
Segmentare ambienti e permessi
Non tutti devono vedere tutto. Separare server, postazioni, gestionali e ambienti produttivi limita i danni se un account viene compromesso. -
Proteggere e testare i backup
Il backup serve solo se è isolato, monitorato e ripristinabile in tempi compatibili con l’operatività. Una soluzione di remote backup ben progettata riduce il rischio di fermo prolungato e di ricatto operativo. -
Formalizzare la risposta agli incidenti
Chi decide? Chi isola le macchine? Chi parla con clienti, fornitori e consulenti? Senza una procedura chiara si perdono ore decisive. -
Curare endpoint e postazioni di lavoro
Aggiornamenti, controllo centralizzato, antivirus/EDR, policy sugli utenti e inventario dei dispositivi non sono attività amministrative secondarie: sono parte della continuità aziendale. Un servizio di desktop IT management aiuta a mantenere standard costanti anche senza un reparto IT interno strutturato. -
Valutare il perimetro privacy e normativo
Un attacco ransomware spesso è anche una violazione di dati personali. Bisogna sapere in anticipo come valutare l’impatto, documentare l’evento e gestire eventuali adempimenti. In questo contesto è utile affiancare la sicurezza tecnica a una corretta impostazione GDPR.
Il punto chiave è questo: oggi la domanda non è solo “possono attaccarci?”, ma “quanto velocemente possiamo rilevare, contenere e ripartire?”.
E per chi lavora tra Italia e Svizzera
In questa vicenda la Svizzera entra in gioco perché il monitoraggio del gruppo è attribuito a PRODAFT, azienda svizzera di cybersecurity. Non emerge però, dalle fonti disponibili, un tema specifico di nLPD, trasferimenti di dati tra Italia e Svizzera o lavoro frontaliero legato direttamente all’incidente.
Per un’azienda transfrontaliera resta comunque valido un principio pratico: se team, fornitori o sistemi sono distribuiti tra sedi italiane e svizzere, la risposta a un attacco deve essere coordinata sia sul piano tecnico sia su quello documentale. In questi contesti conviene verificare in anticipo ruoli, flussi informativi e responsabilità sui dati tra le diverse sedi o società del gruppo, soprattutto quando i sistemi sono condivisi. Su questo tema può essere utile approfondire la gestione dei dati transfrontalieri tra GDPR e nLPD.
Domande frequenti
DevMan è ancora attivo?
Non ci sono prove solide sulle ragioni della fine dell’operazione RaaS, ma PRODAFT ritiene con confidenza moderata che l’attore dietro DevMan sia ancora attivo come affiliato di altri gruppi.
Perché un portale ransomware è diverso da una normale gang criminale?
Perché standardizza il lavoro: build del malware, gestione delle vittime, supporto agli affiliati, pagamenti e controllo operativo vengono centralizzati, rendendo gli attacchi più efficienti.
Una PMI italiana deve preoccuparsi anche se non è un’infrastruttura critica?
Sì. I gruppi ransomware colpiscono anche servizi professionali, aziende tecnologiche, studi e fornitori di filiera. Inoltre un’azienda più piccola può essere usata come ponte verso clienti o partner più grandi.