The Gentlemen ransomware: analisi di una minaccia emergente nel dark web

Nel Q3 2025 è stato osservato un nuovo gruppo ransomware, identificato come The Gentlemen, che ha lanciato un proprio Data Leak Site (DLS) nella rete Tor.

L’infrastruttura e le modalità operative del gruppo indicano un livello di organizzazione medio-alto, con particolare attenzione alla gestione dell’immagine e alla sicurezza operativa. Il DLS di The Gentlemen è accessibile tramite un indirizzo .onion e si presenta come segue:

• Homepage minimalista con logo, motto e branding coerente.
• TOX ID pubblico per comunicazioni cifrate P2P, probabilmente utilizzato per le negoziazioni.
• QR code ridondante per facilitare l’accesso ai contatti.
• Sezione dedicata alle vittime, organizzata in schede con descrizioni e riferimenti a dati esfiltrati.

L’assenza di funzionalità superflue e la scelta di protocolli decentralizzati riducono la superficie d’attacco contro la loro infrastruttura.

Victimology

Le vittime osservate appartengono a settori ad alto valore strategico:

• Manifatturiero/Automotive (EU)
• Servizi tecnologici/IT consulting (Asia)
• Energia e Telecomunicazioni (global)

L’approccio suggerisce una strategia mirata verso entità con bassa tolleranza alla disruption e forte esposizione reputazionale.

Distinguishing Factors

• Branding marcato: stile grafico coerente e naming che punta a differenziarsi da gruppi caotici.
• OpSec rafforzata: uso di TOX invece di portali centralizzati.
• DLS modulare: struttura scalabile, pronta a ospitare un numero crescente di vittime.

Considerazioni finali

Il debutto di The Gentlemen conferma che il panorama ransomware è in continua evoluzione. L’attenzione ai dettagli, la costruzione di un DLS pulito e funzionale, e la scelta di obiettivi nei settori industriali più redditizi lasciano intuire che questo gruppo non sia un’iniziativa improvvisata, ma il risultato di un’organizzazione con risorse e competenze consolidate.

Per le aziende, la lezione è chiara: rafforzare le difese di rete e i processi di incident response è ormai imprescindibile, soprattutto in quei comparti che rappresentano un target primario per attori malevoli di nuova generazione.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione