Il ransomware Storm si sta diffondendo rapidamente a livello internazionale, con oltre 50 vittime registrate in circa sei settimane di attività pubblica. Comparsa nell’agosto 2026, la nuova operazione criminale ha colpito organizzazioni in Nord America, Europa e Oceania, interessando diversi settori, tra cui sanità, finanza, manifattura, pubblica amministrazione e infrastrutture critiche.
Secondo l’analisi pubblicata da Check Point Exposure Management, Storm opera secondo il modello Ransomware as a Service (RaaS), attraverso un programma di affiliazione che prevede una ripartizione dei ricavi su più livelli: il 75% iniziale, che sale all’80% e può raggiungere il 90% per ricavi superiori a 750.000 dollari. Il gruppo mette a disposizione degli affiliati un’infrastruttura articolata, con strumenti per attaccare sistemi Windows, Linux, ESXi e NAS, servizi di assistenza tecnica, gestione delle comunicazioni con le vittime e capacità di attacco DDoS.
Particolare attenzione è riservata all’intelligenza artificiale. Storm si presenta infatti come il “primo ransomware basato sull’IA e resistente ai computer quantistici”. Tuttavia, i ricercatori di Check Point non hanno individuato prove concrete dell’impiego dell’IA nelle attività di intrusione, nella crittografia dei dati o nei processi di estorsione. La componente AI sembra essere utilizzata soprattutto come elemento di marketing, per promuovere l’immagine tecnologica del gruppo e attrarre nuovi affiliati.
Un ulteriore elemento distintivo è rappresentato dal sito dedicato alla fuga di dati, sviluppato come una piattaforma interattiva. Include una mappa globale delle vittime, filtri per settore, funzioni di ricerca, cronologie degli incidenti, anteprime dei documenti e un CAPTCHA personalizzato.
L’analisi evidenzia inoltre una presenza significativa del settore sanitario tra le prime vittime: sei organizzazioni risultano coinvolte, insieme a realtà finanziarie, manifatturiere e commerciali. In particolare, i servizi alle imprese registrano 13 incidenti, seguiti dal settore finanziario con nove e da quello manifatturiero con sette.
Il caso Storm evidenzia come un modello RaaS strutturato, sostenuto da un’aggressiva strategia di reclutamento, un’infrastruttura organizzata e un’attenta costruzione del marchio, possa favorire la crescita delle operazioni ransomware e ampliare il numero di organizzazioni esposte al rischio di attacco.
