La risposta breve
Panzer è un nuovo gruppo ransomware-as-a-service, attivo dal 5 agosto 2026, che in poche settimane ha rivendicato le prime due vittime italiane: Doimo Cucine (manifattura, Treviso) il 17 agosto e NTE Italia (telecomunicazioni, Catanzaro) il 21 agosto. Il gruppo usa la doppia estorsione — esfiltrazione dei dati prima della cifratura — e dispone di payload per Windows, Linux, VMware ESXi e FreeBSD. Il bersaglio prevalente sono manifattura e servizi tecnologici, esattamente il tessuto produttivo italiano.
La priorità non è farsi prendere dal panico per il singolo gruppo, ma chiudere le porte che tutti i RaaS usano: MFA su ogni accesso remoto, patch degli hypervisor e dei servizi esposti, backup offline immutabili e testati, e un piano di risposta agli incidenti provato. Per chi sviluppa o mantiene software, serve anche una postura di sicurezza verificata lungo tutta la filiera.
Chi è Panzer e come opera
Panzer è comparso il 5 agosto 2026 con un data leak site e una piattaforma completa per affiliati. Nel suo primo mese di attività ha rivendicato tra 16 e 19 vittime in 11 Paesi, un ritmo aggressivo per un gruppo così giovane. Si tratta di un modello ransomware-as-a-service semi-aperto: gli sviluppatori forniscono il malware e l'infrastruttura, mentre gli affiliati conducono gli attacchi e trattengono l'80% del riscatto, lasciando il 20% agli operatori del programma.
Sul piano tecnico Panzer offre payload per Windows, Linux, VMware ESXi e FreeBSD, con comandi personalizzabili e funzioni di elusione dei sistemi di rilevamento. La disponibilità di un builder dedicato a ESXi è il dettaglio più preoccupante per l'Italia: gran parte dei sistemi gestionali e degli ambienti di produzione delle aziende manifatturiere gira su hypervisor VMware, e cifrare l'hypervisor significa mettere fuori uso decine di macchine virtuali con un singolo colpo. Il modello di doppia estorsione aggiunge pressione: i dati vengono rubati prima di essere cifrati, e alcuni campioni pubblicati come prova, così il pagamento viene chiesto sia per la chiave di decifratura sia per evitare la pubblicazione.
La piattaforma per affiliati include tracciamento di proventi e saldi, caricamento di build multipiattaforma e un generatore di fatture Bitcoin agganciato ai pagamenti. Come molti RaaS, il gruppo dichiara regole interne — esclude bersagli nei Paesi della CSI e soggetti legati ad abusi su minori — una scelta più utile a reclutare affiliati che a tutelare le vittime. Per chi costruisce o mantiene sistemi in Italia, la lezione operativa è una sola: i vettori d'ingresso di questi gruppi sono quasi sempre gli stessi, e un ciclo regolare di penetration test e audit di sicurezza resta il modo più economico per scoprirli prima che lo faccia un affiliato.
Le prime vittime italiane
Le due rivendicazioni italiane sono arrivate a quattro giorni di distanza, un segnale che l'Italia rientra nel raggio d'azione del gruppo fin dal debutto.
- Doimo Cucine — produttore di cucine con sede a Nervesa della Battaglia (Treviso), inserito nel leak site il 17 agosto 2026. Il gruppo dichiara l'esfiltrazione di circa 30 GB di dati. È un caso emblematico del distretto manifatturiero del Nord-Est, dove PMI con marchi noti convivono con infrastrutture IT non sempre adeguate alla superficie d'attacco.
- NTE Italia — fornitore di servizi di telecomunicazioni e ingegneria con sede a Catanzaro e uffici a Roma e Catania, rivendicato il 21 agosto 2026 con circa 16 GB di documenti dichiarati sottratti. Il profilo è delicato: un provider di servizi tecnologici che, se compromesso, può diventare un punto d'accesso verso i propri clienti.
La distribuzione settoriale di Panzer conferma il quadro: il 25% delle vittime appartiene al comparto tecnologico e il 19% alla manifattura. Sono esattamente le due categorie in cui l'economia italiana è più esposta — da un lato i fornitori IT e telco che fanno da snodo verso altre aziende, dall'altro le imprese industriali con reti OT e sistemi ERP difficili da fermare per manutenzione.
Un anno record per il ransomware in Italia
Panzer non è un'anomalia isolata, ma l'ultimo arrivato in un anno già pesante. Al 6 settembre 2026 le rivendicazioni contro organizzazioni italiane hanno raggiunto quota 212 per l'anno in corso, superando le 169 registrate in tutto il 2025. La curva è in netta crescita e mancano ancora quattro mesi alla chiusura dell'anno.
Le ragioni sono strutturali. L'Italia è tra i Paesi più colpiti in Europa, con una concentrazione di PMI che dispongono di asset di valore — dati clienti, proprietà intellettuale, integrazione con la filiera produttiva — ma spesso senza un team di sicurezza dedicato. Per gli affiliati RaaS il calcolo è semplice: bersagli numerosi, difese disomogenee, forte incentivo al pagamento perché il fermo produttivo costa più del riscatto. La manifattura amplifica il problema, perché la convergenza tra reti IT e reti OT trasforma un incidente informatico in un blocco di linea.
C'è anche una dimensione di supply chain che riguarda chi sviluppa software: un fornitore compromesso può diventare il vettore verso i suoi clienti più grandi. È il motivo per cui la sicurezza non può fermarsi al perimetro della singola azienda ma deve essere un requisito di ingaggio lungo tutta la filiera manifatturiera e dei servizi.
Cosa devono fare le imprese ora
La difesa contro Panzer — e contro qualsiasi RaaS — non richiede tecnologie esotiche, ma disciplina sui fondamentali. Ecco le priorità nell'ordine.
1. MFA su tutti gli accessi remoti
La maggior parte delle compromissioni iniziali parte da credenziali rubate o riutilizzate. L'autenticazione a più fattori su VPN, RDP, pannelli di amministrazione e accessi cloud è il controllo con il miglior rapporto impatto/costo: elimina la classe più ampia di ingressi. Se non è ancora attiva ovunque, è il primo intervento da fare.
2. Patch di hypervisor e servizi esposti
Il builder per VMware ESXi rende gli hypervisor un bersaglio primario. Verificare la versione di ESXi, vCenter, delle VPN e di ogni servizio esposto su Internet, e applicare gli aggiornamenti di sicurezza entro poche ore dalla verifica, chiude le vulnerabilità note che gli affiliati sfruttano per primi.
3. Backup offline immutabili e testati
Contro la cifratura, il backup resta la rete di sicurezza decisiva — ma solo se è offline o immutabile (fuori dalla portata di chi controlla il dominio) e se il ripristino è stato provato davvero. Un backup mai testato è un'ipotesi, non una garanzia. La doppia estorsione, però, riduce il valore del solo backup: se i dati sono già stati esfiltrati, il ripristino evita il fermo ma non la pubblicazione.
4. Segmentazione tra IT e OT
Nelle aziende manifatturiere, separare le reti gestionali dalle reti di produzione limita il raggio di un attacco. Una segmentazione ben progettata impedisce che una compromissione in ufficio si propaghi fino alla linea, ed è anche il prerequisito per contenere rapidamente un incidente.
5. Piano di risposta agli incidenti provato
Un piano di incident response documentato, con ruoli definiti, procedure di isolamento e un playbook specifico per il ransomware, è la differenza tra un incidente contenuto in ore e uno che ferma l'operatività per settimane. Il piano va testato con esercitazioni, non solo scritto e archiviato.
Domande frequenti
Cos'è Panzer ransomware?
Panzer è un gruppo ransomware-as-a-service (RaaS) emerso il 5 agosto 2026 con un sito di leak e una piattaforma per affiliati. Nel primo mese ha rivendicato tra 16 e 19 vittime in 11 Paesi, con payload per Windows, Linux, VMware ESXi e FreeBSD, funzioni anti-detection e un modello di doppia estorsione. La ripartizione dei proventi è 80/20 a favore degli affiliati.
Quali aziende italiane ha colpito Panzer?
Panzer ha rivendicato due vittime italiane a pochi giorni di distanza: Doimo Cucine, produttore di cucine con sede a Nervesa della Battaglia (Treviso), inserita nel leak site il 17 agosto 2026 con circa 30 GB di dati presunti esfiltrati; e NTE Italia, fornitore di servizi di telecomunicazioni e ingegneria con sede a Catanzaro, rivendicata il 21 agosto 2026 con circa 16 GB di documenti. Manifattura e servizi tecnologici sono i settori più colpiti dal gruppo.
Su quali piattaforme opera Panzer?
Il ransomware dispone di payload per Windows, Linux, VMware ESXi e FreeBSD. La disponibilità di un builder per ESXi è particolarmente critica per le imprese italiane, dove molti ambienti di produzione e i sistemi ERP girano su hypervisor VMware: cifrare l'hypervisor consente di bloccare decine di macchine virtuali con un solo attacco.
Come possono difendersi le imprese italiane?
Le priorità concrete sono: MFA su tutti gli accessi remoti (VPN, RDP, pannelli di amministrazione); patch tempestiva su hypervisor VMware ESXi, VPN e servizi esposti; backup offline immutabili con ripristino testato; segmentazione della rete tra IT e OT; un piano di risposta agli incidenti con playbook ransomware provato. Per chi sviluppa software, servono anche security review e penetration test periodici lungo la supply chain.
Fonti
ICT Security Magazine — Panzer ransomware: nuovo RaaS colpisce due aziende italiane (6 settembre 2026)
Andrea Fortuna — Panzer ransomware: a new RaaS hits Italian manufacturers and telecom providers (7 settembre 2026)
SOCRadar — Panzer Ransomware Group Profile
Ransomware.live — Tracker delle rivendicazioni ransomware in Italia