In questo articolo Indice dei contenuti 2 sezioni
Una vera e propria guerra sul dark web sta mettendo l’uno contro l’altro due dei gruppi criminali più noti del panorama informatico. Nella notte tra il 18 e il 19 settembre 2026 ShinyHunters ha violato il sito della gang di ransomware Clop, sostenendo di aver sottratto dati interni e minacciando ora di chiedere un riscatto proprio al suo rivale. Il sito colpito, ospitato sulla rete decentralizzata Tor, è quello che Clop usa per esporre le proprie vittime e trattare le richieste di pagamento.
Dal canto suo ShinyHunters è comparso nel 2019 e si è specializzato nel furto massiccio di dati. Porta la sua firma l’attacco a nomi come Rockstar Games, Louis Vuitton, Trezor e Stellantis. L’offensiva contro Clop è partita in modo quasi goliardico con un piccolo file di testo dal tono canzonatorio caricato sul sito dei concorrenti. Qualche ora dopo gli hacker hanno sostituito del tutto la pagina principale della piattaforma.
ShinyHunters: la falla in Grav CMS e le conseguenze per le vittime
Per entrare nei sistemi di Clop, ShinyHunters afferma di aver sfruttato una vulnerabilità in Grav CMS, il software di gestione dei contenuti su cui gira il sito dei rivali. La breccia permetteva di caricare file senza alcuna autenticazione. Una volta dentro gli aggressori hanno ottenuto l’accesso completo al server, e questo per chi è stato preso di mira da Clop non è affatto una buona notizia.
Julien Mousqueton, esperto di sicurezza informatica, spiega che per le vittime di Cl0p l’intrusione è un promemoria di ciò che chi gestisce gli incidenti sa da anni. Quando si paga per la cancellazione dei dati si ripone fiducia nella sicurezza operativa di un gruppo criminale. Secondo le informazioni disponibili, quel gruppo gestiva il proprio sito di fuga di dati su un CMS mai aggiornato. «Le stesse persone che promettevano di eliminare i vostri dati non sono state capaci di proteggere il proprio server» osserva l’esperto.
Il bottino comprende il codice sorgente di Clop, plugin, registri di sistema e soprattutto le chiavi private della gang. Chi le possiede può continuare a ospitare un sito allo stesso indirizzo Tor anche se Clop dovesse riprendere il controllo del proprio server. In pratica ShinyHunters potrebbe spacciarsi per Clop per tutto il tempo che vuole, ripubblicando dati rubati o rilanciando richieste di riscatto verso vecchie vittime a nome della banda.
Mousqueton aggiunge che, se ShinyHunters possiede davvero i dati interni di Cl0p, chi è già stato colpito si trova davanti a una seconda esposizione. La minaccia di rendere pubblici i nomi di chi ha pagato, le cifre versate e gli indirizzi Bitcoin trasformerebbe un pagamento riservato in una questione di divulgazione pubblica, con risvolti normativi e legali anche a distanza di anni dalla violazione originale. I consigli di amministrazione che avevano approvato un pagamento per chiudere il problema dovrebbero rivedere quella scelta insieme ai propri legali fin da subito.
Umiliazione pubblica e le origini dello scontro con Clop
Per umiliare il rivale ShinyHunters ha trasformato il sito in un trofeo sotto gli occhi di tutti. Ora compare un disegno di Umbreon, il Pokémon che fa da logo al gruppo, con una frase provocatoria che suona più o meno come “vi buchiamo i sistemi dal 2019”. C’è anche un link che rimanda al sito di fuga di dati di ShinyHunters. E non è finita qui, perché il gruppo ha pubblicato un messaggio di ricatto che concede a Clop 72 ore per farsi vivo e negoziare l’importo del riscatto. «Ogni volta che non rispondete alle nostre sollecitazioni le nostre richieste aumentano. Ora pretendiamo scuse pubbliche e obbligatorie» dichiara la banda.
Alla base dello scontro c’è la vasta campagna di estorsione condotta da Clop nel 2025 contro i clienti di Oracle EBS. In quell’occasione la gang aveva sfruttato la falla usando un metodo di attacco trovato online. ShinyHunters ne rivendica la paternità e accusa Clop di averglielo rubato. I toni si sono inaspriti in fretta e, stando a quanto sostiene ShinyHunters, un rappresentante di Clop avrebbe perfino minacciato di identificare alcuni membri del gruppo e di farli uccidere.
«Voglio tutto il denaro che avete guadagnato con la campagna EBS, e anche di più, CON GLI INTERESSI, prima di iniziare a rivelare quali aziende vi hanno pagato, quanto e su quali indirizzi Bitcoin» prosegue la banda. I regolamenti di conti tra gang non sono una novità. Nel marzo del 2025 il gruppo DragonForce aveva già violato i siti dei suoi due principali concorrenti, BlackLock e Mamona, per umiliarli davanti agli altri criminali del dark web.
Fonte: TecnoAndroid
