Un arresto negli Stati Uniti ha acceso i riflettori su un tema scomodo ma molto concreto per le aziende: chi gestisce le trattative con i cybercriminali e con quali limiti. Secondo quanto riportato da KrebsOnSecurity il 10 ottobre 2026, l’FBI ha arrestato in Pennsylvania un dirigente canadese collegato a una società che si occupava anche di negoziazioni in casi di ransomware, nell’ambito di un’indagine sul gruppo ShinyHunters. Per un’impresa italiana il punto non è il gossip giudiziario: è capire che, durante un incidente, ogni scelta operativa e legale può diventare critica, e che affidarsi a processi improvvisati o a intermediari opachi espone a rischi enormi.
Che cosa è successo
La notizia nasce da un’inchiesta dell’FBI sul gruppo ShinyHunters, una gang nota per furto di dati ed estorsione. In base alle informazioni pubblicate da KrebsOnSecurity e riprese anche dal New York Times, l’8 ottobre è stato arrestato in Pennsylvania un cittadino canadese identificato nei documenti di tribunale come Edward Dobrovsky, con una lieve variazione del cognome rispetto ad altri riferimenti pubblici.
Le accuse riportate nei registri giudiziari consultabili indicano contestazioni legate a estorsione informatica e cospirazione. Una sintesi dell’atto parla di cospirazione finalizzata a minacciare la compromissione della riservatezza delle informazioni con intento estorsivo, oltre a interferenza con il commercio tramite minacce. Una parte rilevante della documentazione risulta però sigillata, quindi il quadro processuale è ancora incompleto.
Secondo le fonti citate da KrebsOnSecurity, l’uomo si trovava in Pennsylvania in occasione di una conferenza sul cyber insurance svoltasi a Philadelphia tra il 5 e il 7 ottobre. Le stesse fonti collegano l’arresto a un’azienda specializzata nella gestione delle negoziazioni con gruppi ransomware. Un portavoce di Cypfer, menzionata nella ricostruzione giornalistica, ha precisato che Dubrovsky non sarebbe stato fondatore o cofondatore della società, ma managing director fino alle dimissioni nel novembre 2025.
L’FBI non ha commentato pubblicamente il merito del caso, ma il procedimento è stato successivamente trasferito nell’Eastern District of Texas, area che secondo le fonti sarebbe diventata un centro nevralgico dell’indagine su ShinyHunters.
Perché ShinyHunters è al centro dell’attenzione
ShinyHunters non è un nome nuovo per chi segue la sicurezza informatica. Il gruppo viene associato ad attacchi che puntano soprattutto al furto di dati da account aziendali e piattaforme software-as-a-service, spesso attraverso phishing e credenziali rubate. Il modello è noto: si sottraggono informazioni sensibili e poi si minaccia la pubblicazione online se non viene pagato un riscatto.
Nella ricostruzione pubblicata da KrebsOnSecurity, l’FBI attribuisce al gruppo oltre 70 milioni di dollari estorti alle vittime solo nel corso di quest’anno. È un dato che aiuta a capire la scala del problema: non siamo davanti a episodi isolati, ma a un mercato criminale strutturato, con ruoli, procedure e una notevole capacità di pressione psicologica sulle aziende colpite.
Il caso è diventato ancora più delicato perché ShinyHunters avrebbe sottratto anche dati sensibili dell’FBI relativi a migliaia di agenti, inclusi dettagli su unità di appartenenza, specializzazioni e persino informazioni mediche e psichiatriche. Questo spiega perché l’indagine abbia assunto un profilo così alto.
Il punto più importante: il confine tra assistenza e intermediazione
L’aspetto davvero rilevante per le aziende non è tanto l’identità della persona arrestata, quanto la zona grigia che questa vicenda mette in luce. Nel mercato della risposta al ransomware esistono consulenti, broker assicurativi, società di incident response, studi legali e fornitori che aiutano a comunicare con gli attaccanti. In teoria, dialogare con i criminali non equivale automaticamente a pagare. In pratica, però, il confine tra supporto tecnico, negoziazione e facilitazione di un’estorsione può diventare molto sottile.
Le fonti citate nell’articolo ricordano anche che l’indagine potrebbe allargarsi ad altri soggetti operanti nel settore delle negoziazioni ransomware. Anche senza anticipare conclusioni che spettano ai tribunali, il messaggio per il mercato è chiaro: affidare la gestione di una crisi a figure poco trasparenti, non adeguatamente inquadrate sul piano legale e procedurale, può aggravare il danno.
Per le aziende questo significa una cosa semplice: la risposta a un attacco non si decide sotto pressione il giorno dell’incidente. Va preparata prima, definendo ruoli, procedure, catena decisionale e criteri di escalation.
Cosa insegna questo caso alle PMI italiane
Molte piccole e medie imprese pensano al ransomware come a un problema “da grandi aziende”. In realtà gli attaccanti colpiscono chi è più esposto e meno preparato, non solo chi ha maggiore visibilità. La presenza di dati su clienti, dipendenti, fornitori, progetti o documenti amministrativi rende vulnerabile qualunque organizzazione.
Questo caso mostra almeno quattro lezioni concrete.
La prima: il ransomware non è solo un problema tecnico. È una crisi aziendale che coinvolge direzione, legale, privacy, operations e comunicazione.
La seconda: pagare o anche solo aprire una trattativa non è mai una decisione neutra. Ha implicazioni legali, reputazionali, assicurative e organizzative.
La terza: se i dati sono l’arma dell’estorsione, la capacità di ripristino è l’unico vero antidoto che riduce la pressione. Senza copie affidabili, tempi di recupero ragionevoli e procedure testate, l’azienda negozia in posizione di debolezza.
La quarta: chi vi assiste durante l’incidente deve essere scelto prima, verificato e ingaggiato con regole chiare. In emergenza si tende ad accettare qualunque proposta sembri risolutiva; è proprio il momento in cui si commettono gli errori peggiori.
Cosa significa per la tua azienda
Per una PMI italiana, il modo migliore di leggere questa notizia è trasformarla in una checklist operativa.
1. Definisci un piano di risposta agli incidenti
Stabilisci in anticipo chi decide cosa in caso di attacco: titolare o direzione, referente IT, responsabile privacy, consulente legale, comunicazione. Se manca una regia, nelle prime ore prevalgono confusione e scelte impulsive.
2. Metti in sicurezza backup e ripristino
Un backup esiste davvero solo se è isolato, monitorato e testato. Se oggi non sai con certezza quanto tempo servirebbe per rimettere in funzione file, gestionali, posta e workstation, sei più vulnerabile di quanto pensi. Soluzioni di remote backup ben progettate riducono il rischio di fermo prolungato.
3. Proteggi gli account prima ancora dei server
Il riferimento a phishing e credenziali rubate è importante. Molti attacchi iniziano da caselle email, accessi cloud e VPN. Attiva autenticazione a più fattori, rivedi i privilegi amministrativi, elimina gli account inutilizzati e controlla gli accessi anomali.
4. Verifica i fornitori che ti assisteranno in emergenza
Se hai una polizza cyber o un contratto con fornitori esterni, chiarisci fin d’ora chi interviene, con quale mandato e con quali limiti. Chiedi procedure scritte, tracciabilità delle attività e coordinamento con il legale e con chi segue gli aspetti privacy.
5. Considera subito il tema dati personali
Quando un attacco comporta esfiltrazione di dati, il tema non è solo ripartire ma anche valutare l’impatto su clienti, dipendenti e partner. In questi casi entrano in gioco obblighi documentali, analisi del rischio e possibili notifiche. Un supporto competente sugli adempimenti GDPR è parte integrante della risposta, non un passaggio successivo.
6. Riduci la superficie di attacco degli endpoint
PC non aggiornati, software fuori supporto e configurazioni incoerenti restano una porta d’ingresso frequente. Una gestione strutturata delle postazioni con criteri uniformi, aggiornamenti e controllo centralizzato aiuta molto più di quanto si creda. Qui rientrano anche servizi di sicurezza informatica orientati alla prevenzione, non solo all’intervento dopo il danno.
7. Allena il personale sulle truffe più comuni
Gli attaccanti sfruttano la fretta e la fiducia: email credibili, finti accessi Microsoft 365, file condivisi, richieste urgenti. Un minimo di formazione periodica riduce il rischio di cadere nei vettori più banali ma ancora molto efficaci.
Un mercato che sta cambiando
L’arresto raccontato da KrebsOnSecurity arriva in un momento in cui la filiera del ransomware è sempre più osservata dalle autorità. Non solo i gruppi criminali, ma anche tutte le attività che ruotano attorno alla monetizzazione degli attacchi stanno entrando sotto una lente più severa.
Per le imprese questo significa che l’approccio “pragmatico ma opaco”, basato su contatti informali e scorciatoie operative, diventa sempre meno sostenibile. La gestione di un incidente deve essere difendibile anche a posteriori: davanti agli assicuratori, ai clienti, ai partner, al Garante privacy e, in certi casi, alle autorità giudiziarie.
In altre parole, la maturità cyber oggi non si misura solo con firewall e antivirus. Si misura con governance, tracciabilità delle decisioni, capacità di recupero e qualità dei partner scelti.
Domande frequenti
Un’azienda può trattare con i criminali dopo un attacco ransomware?
Sì, in linea generale può capitare che ci sia una comunicazione con gli attaccanti, ma è una scelta ad altissimo rischio che va gestita con supporto legale, tecnico e privacy. Non dovrebbe mai essere improvvisata.
Se ho i backup, sono davvero protetto dal ransomware?
I backup aiutano moltissimo, ma solo se sono integri, separati dall’ambiente compromesso e testati regolarmente. Un backup non verificato può fallire proprio nel momento in cui serve.
Per una PMI qual è la priorità assoluta?
Mettere in sicurezza accessi ed endpoint, avere backup affidabili e definire prima un piano di risposta. Sono le tre misure che riducono più rapidamente il danno potenziale.