Gunra sfrutta Fortinet: allerta ransomware globale

Un nuovo avviso congiunto tra autorità statunitensi e sudcoreane segnala che il ransomware Gunra sta sfruttando vulnerabilità di dispositivi Fortinet esposti su Internet per entrare nelle reti aziendali, rubare dati e cifrare sistemi critici. La notizia riguarda anche le PMI italiane: molte imprese usano firewall, proxy, VPN e ambienti Microsoft 365 come primo perimetro digitale, ed è proprio lì che questo tipo di attacco cerca il varco iniziale.

Cosa è successo

L’11 agosto 2026 è emersa una nuova allerta pubblica su Gunra, una famiglia ransomware già attiva almeno dall’aprile 2025 e oggi osservata in campagne contro organizzazioni di diversi settori nel mondo. Secondo le informazioni diffuse da autorità di cybersicurezza e intelligence di Corea del Sud e Stati Uniti, il gruppo ha preso di mira in particolare sanità, servizi finanziari, enti pubblici, servizi professionali e organizzazioni non profit.

L’aspetto più importante è il metodo di ingresso: gli attaccanti hanno sfruttato falle note in apparati Fortinet FortiOS e FortiProxy esposti su Internet, indicate come CVE-2024-55591 e CVE-2025-24472. Dopo l’accesso iniziale, l’operazione prosegue con furto di credenziali, movimento laterale nella rete, esfiltrazione dei dati e infine cifratura dei sistemi.

Non si tratta quindi di un semplice “virus che blocca i file”, ma di un attacco organizzato, con una logica di doppia estorsione: prima i dati vengono copiati fuori dall’azienda, poi i server e gli archivi vengono cifrati per aumentare la pressione economica e operativa sulla vittima.

Perché Gunra merita attenzione

Gunra non è un caso isolato, ma si inserisce in una tendenza ormai consolidata: gruppi ransomware sempre più strutturati, con ruoli distribuiti, strumenti professionali e modelli quasi industriali. Le fonti citano un programma RaaS, cioè ransomware-as-a-service, formalizzato a gennaio 2026. In pratica, il gruppo mette a disposizione di affiliati un pannello di gestione, strumenti configurabili, varianti per Windows e Linux e documentazione operativa.

Questo modello abbassa la soglia d’ingresso per i criminali e aumenta il numero di attacchi potenziali. Non serve più che ogni gruppo sviluppi tutto da zero: bastano accessi rubati, una rete vulnerabile e una filiera criminale pronta a monetizzare.

Secondo i dati richiamati dalle fonti, Gunra ha pubblicato 51 vittime dalla sua comparsa nello scenario di minaccia nell’aprile 2025. La distribuzione geografica osservata finora mostra una forte presenza in Corea del Sud, Brasile, Spagna, Thailandia e Hong Kong, con molte vittime in Australia, Asia orientale ed Europa.

Come entra in azienda

Il primo punto da chiarire è che il ransomware raramente “compare dal nulla”. Nel caso Gunra, l’accesso iniziale è stato collegato a due fattori principali: vulnerabilità su apparati di frontiera e tecniche di phishing.

Gli apparati Fortinet coinvolti hanno un ruolo delicato: spesso gestiscono VPN, proxy, ispezione del traffico o pubblicazione di servizi verso Internet. Se non sono aggiornati o se espongono configurazioni deboli, diventano una porta di ingresso privilegiata.

Una volta ottenuto l’accesso, gli attaccanti puntano a:

• recuperare credenziali amministrative;
• muoversi lateralmente tramite SMB;
• estrarre hash e informazioni dagli account di dominio;
• raggiungere server critici, NAS e database;
• raccogliere documenti di configurazione di rete e sistemi;
• sottrarre file da OneDrive e SharePoint.

Le fonti descrivono anche casi in cui gli attori hanno abusato di ambienti VDI usati dal personale IT, proprio per recuperare documentazione sensibile su infrastruttura e configurazioni. È un dettaglio importante: non cercano solo i dati commerciali, ma anche le “mappe” dell’azienda, cioè tutte quelle informazioni che aiutano a espandere rapidamente il controllo sulla rete.

Le tecniche osservate negli attacchi

Sul piano operativo, Gunra usa strumenti e procedure ben note nel cybercrime moderno. Sono stati osservati componenti della suite Impacket, come psexec.py e smbclient.py, per il movimento laterale tramite protocollo SMB, oltre a secretsdump.py per il furto di credenziali dai domain controller.

Il gruppo cerca inoltre di cancellare le tracce eliminando log di sistema e di rete e svuotando la cronologia dei comandi. Le attività malevole e la ricognizione interna risultano concentrate soprattutto nelle ore notturne, tra le 22 e le 6, quando è meno probabile che il personale se ne accorga in tempo reale.

Per l’esfiltrazione, le fonti indicano l’uso di un eseguibile chiamato main.exe per prelevare dati da Microsoft OneDrive e SharePoint. In alcuni casi sono stati creati archivi compressi di dimensioni enormi, anche nell’ordine dei terabyte, poi trasferiti verso il servizio di file sharing MEGA.

Un elemento particolarmente allarmante riguarda l’aggiramento dell’autenticazione forte. In un caso analizzato dalle autorità sudcoreane, gli attaccanti hanno manipolato funzionalità di controllo del traffico di un’appliance SSL-VPN per intercettare credenziali e informazioni di sessione degli utenti che si autenticavano a un portale VDI aziendale. I cookie di sessione rubati sono poi stati riutilizzati per impersonare utenti legittimi e accedere alla rete interna. In altri casi, il gruppo avrebbe persino alterato file coinvolti nel processo di autenticazione del portale VDI, in modo da consentire il superamento del controllo MFA usando uno specifico valore OTP definito dagli attaccanti.

Questo punto è cruciale: l’MFA resta indispensabile, ma da sola non basta se l’infrastruttura che la gestisce viene compromessa.

Il vero rischio per le imprese

Molti imprenditori associano il ransomware al fermo dei PC. In realtà il danno oggi è più ampio e spesso più costoso della sola cifratura.

Il modello di doppia estorsione usato da Gunra prevede che i dati vengano pubblicati se la vittima non paga entro cinque-sette giorni. Questo significa che il problema non è solo tornare operativi, ma anche gestire:

• possibile perdita di riservatezza su dati clienti, contratti, documenti HR e progetti;
• interruzione di processi amministrativi, gestionali e produttivi;
• danno reputazionale verso clienti, partner e fornitori;
• verifiche interne su account, log e privilegi compromessi;
• eventuali adempimenti privacy e notifiche conseguenti.

Quando gli attaccanti arrivano a cifrare NAS e database, il fermo non riguarda un singolo ufficio ma interi flussi aziendali: contabilità, magazzino, CRM, documentale, file server, applicativi verticali.

Cosa significa per la tua azienda

Per una PMI italiana, la lezione non è “comprare un nuovo prodotto”, ma verificare subito alcuni punti operativi. Se usi appliance Fortinet, VPN, proxy o servizi pubblicati verso Internet, è il momento di controllare senza rinvii.

Primo: verifica patch e versioni dei dispositivi esposti. Le vulnerabilità citate, CVE-2024-55591 e CVE-2025-24472, riguardano apparati di frontiera: se un dispositivo è raggiungibile da Internet, il tempo di reazione conta moltissimo.

Secondo: rivedi gli accessi amministrativi. Account inutilizzati, credenziali di default, profili dimenticati o console gestionali aperte solo “temporaneamente” sono tra le debolezze più sfruttate. Bisogna eliminare tutto ciò che non serve, cambiare le credenziali, limitare l’accesso e registrare ogni attività amministrativa.

Terzo: separa gli ambienti. VPN, server, NAS, PC utenti, postazioni IT e sistemi critici non dovrebbero convivere senza segmentazione. Se un aggressore entra da un apparato perimetrale, deve trovare ostacoli reali al movimento laterale.

Quarto: controlla Microsoft 365 come parte del perimetro, non come servizio “esterno”. OneDrive e SharePoint sono obiettivi concreti di esfiltrazione, quindi servono monitoraggio, regole di accesso, revisione delle condivisioni e protezione degli account privilegiati.

Quinto: testa backup e ripristino. Un backup esiste davvero solo se può essere recuperato in tempi compatibili con il business. Per molte aziende è prudente affiancare copie isolate e verifiche periodiche di restore, ad esempio con soluzioni di remote backup.

Sesto: prepara una risposta all’incidente prima che serva. Sapere chi chiamare, quali sistemi isolare, come preservare le evidenze e come comunicare con clienti e fornitori riduce tempi e danni. Questo rientra in un percorso più ampio di sicurezza informatica e gestione continua dell’infrastruttura.

Settimo: verifica gli aspetti privacy. Se c’è esfiltrazione di dati, il tema non è solo tecnico ma anche organizzativo e normativo. Conviene avere già riferimenti chiari su ruoli, trattamenti, fornitori e procedure legate al GDPR.

In pratica, le priorità delle prossime 48 ore per una PMI sono semplici:

1. inventario degli apparati Fortinet e dei servizi esposti;
2. controllo immediato di patch, account amministrativi e log;
3. revisione degli accessi VPN, VDI e Microsoft 365;
4. verifica dei backup e prova di ripristino;
5. definizione di un contatto tecnico unico per eventuale risposta rapida.

Non basta avere l’antivirus

Una notizia come questa conferma un punto spesso sottovalutato: gli attacchi moderni passano dall’infrastruttura, dalle identità e dai servizi cloud, non solo dai PC degli utenti. Se il firewall, la VPN o il portale di autenticazione vengono compromessi, l’antivirus sul desktop diventa solo uno degli elementi difensivi, non il principale.

Per questo la sicurezza efficace è fatta di manutenzione costante, controllo degli accessi, aggiornamenti tempestivi, visibilità sui log e backup affidabili. È un lavoro continuativo, non un acquisto una tantum.

Domande frequenti

Se abbiamo l’MFA siamo al sicuro?

No. L’MFA resta fondamentale, ma le fonti mostrano che Gunra può colpire anche l’infrastruttura di autenticazione o rubare sessioni già aperte. Serve proteggere anche VPN, VDI, account admin e portali esposti.

Il rischio riguarda solo grandi aziende e infrastrutture critiche?

No. L’allerta cita settori critici, ma tra i bersagli compaiono anche servizi professionali e organizzazioni non profit. Le PMI sono spesso appetibili perché hanno dati utili e difese meno mature.

Se abbiamo i backup, il problema è risolto?

Non del tutto. I backup aiutano a ripartire, ma non evitano il furto dei dati né il danno reputazionale. Inoltre vanno testati: se NAS, credenziali o copie di backup sono raggiungibili dagli attaccanti, il rischio resta alto.