cosa è successo a chi, raccontato dritto: takedown, sparizioni e addii ordinati nella scena dei hidden service.
LockBit 5.0 minaccia di pubblicare documenti d’identità legati a più di 100.000 candidati del gruppo francese di lavoro interinale Actua, distribuiti su dieci depositi contemporaneamente. Com’è fatto lo scarto tra rivendicazione e realtà, e perché i leak sparsi cambiano i conti del takedown.
Un hacker con lo alias ZeroBytes ha pubblicizzato un database DGFiP rubato su PwnForums, rivendicando accesso in tempo reale ai sistemi fiscali francesi. Il ministero dell’Economia ha confermato accesso illegittimo che riguarda circa 678.000 persone e organizzazioni; le rivendicazioni più grandi del venditore restano non verificate.
Dopo che Abacus è andato offline a luglio 2025 in mezzo a fallimenti nei prelievi e sospetti di exit scam, i suoi compratori si sono dispersi verso Torzon e Black Ops Market - mentre le piattaforme più recenti ricostruivano lo stack di pagamento attorno allo scambio monete integrato.
Dopo il crollo di BreachForums nell’aprile 2025, Darkforums ha assorbito la sua base di utenti dislocata e è cresciuto del 600 per cento in due mesi, contando oggi oltre 12.700 membri sotto gli admin AnonOne e Knox.
I contrasti a Lumma e Rhadamanthys nel 2025 hanno appena rallentato l’economia degli infostealer. Russian Market elenca oggi oltre 180.000 log a semestre, e i dati dentro alimentano intrusioni nel giro di giorni.
Gli analisti di SOCRadar hanno avvistato un post clandestino che vendeva un presunto database SCHUFA di 70 milioni di tedeschi con IBAN e punteggi di credito, poche settimane dopo le rivelazioni di un database ombra segreto presso l’agenzia di credito. La vendita resta non verificata.
Un unico venditore cybercriminale noto come TheHatman ha elencato circa 3,64 milioni di record di directory Azure ed Entra di McDonald's, TCS, Vodafone e altre sei grandi aziende tra il 31 luglio e il 16 agosto 2026. Hudson Rock giudica i dump molto probabilmente autentici, mentre TCS nega qualsiasi breccia credibile.
Mandiant segue la UNC6671, un’operazione di vishing ed estorsione legata a The Com che dal gennaio 2026 gestisce almeno quattro marchi rivolti alle vittime su infrastruttura condivisa, colpendo società finanziarie come Apollo e Moody's con richieste a partire da circa 3 milioni di dollari.
Il sito di leak della Silent Ransom Group è passato da 38 studi elencati ad aprile a 64 al 21 agosto 2026; i dati clienti di Troutman Pepper Locke, comprese decine di migliaia di numeri di Social Security, sono ora pubblicati dopo che lo studio sarebbe rimasto in silenzio.
ShinyHunters ha elencato la società di threat intelligence ReliaQuest sul suo sito di leak il 23 agosto con screenshot ma nessuna prova verificabile, giorni dopo che la società aveva pubblicato ricerche sulle campagne del gruppo. La rivendicazione resta non confermata.
I broker di accesso iniziale pubblicizzano ormai credenziali VPN, RDP e admin aziendali accanto al reclutamento attivo di dipendenti sulle messaggistiche. Gli ultimi dati di Flashpoint sulla minaccia interna mostrano un mercato professionalizzato più in fretta della maggior parte delle difese.
CISA, FBI e HHS contano ormai oltre 500 vittime di Medusa, oltre 200 solo nell’ultimo anno. Uno sguardo a come funziona il sito di leak ospitato su Tor del gruppo e cosa dice sull’ecosistema estorsivo del 2026.
