Per mesi un ventottenne russo noto nella rete criminale con lo pseudonimo “snake” ha gestito, secondo gli inquirenti tedeschi, una posizione di vertice all’interno di Qilin, una delle operazioni ransomware-as-a-service più attive degli ultimi due anni. Non sapeva che la polizia della Renania Settentrionale-Vestfalia era già dentro la sua infrastruttura, leggeva la sua corrispondenza e seguiva in tempo reale i suoi spostamenti. Quando a maggio ha deciso di concedersi una vacanza turistica a Osaka, le autorità giapponesi erano già state avvertite. Il 2 ottobre 2026 è stato consegnato alla Germania, senza che tra i due Paesi esista un trattato di estradizione bilaterale.

Un arresto nato da mesi di infiltrazione

Secondo quanto dichiarato dal ministro dell’Interno della Renania Settentrionale-Vestfalia, Herbert Reul, e riportato dai media tedeschi e giapponesi, gli investigatori del Land hanno monitorato l’infrastruttura di Qilin per diversi mesi prima di muoversi. Non si è trattato di semplice intercettazione passiva: gli inquirenti si sono infiltrati nella rete del gruppo, hanno tracciato i movimenti di criptovaluta legati ai pagamenti dei riscatti e sono riusciti ad accedere segretamente ai sistemi usati dal sospettato, leggendone le comunicazioni private — incluso, a quanto pare, il momento in cui ha pianificato il proprio viaggio in Giappone.

Quell’informazione è stata condivisa con le autorità giapponesi, che lo hanno arrestato in un hotel di Osaka il 26 maggio 2026 con un mandato di custodia provvisoria basato sulla legge sull’estradizione. Il Ministero della Giustizia giapponese, la Procura di Tokyo e la Cyber Special Investigation Unit del Kanto Regional Police Bureau hanno gestito la procedura, conclusa il 2 ottobre con il trasferimento del sospettato in Germania dopo una decisione dell’Alta Corte di Tokyo. Si trova ora in custodia cautelare, in attesa di processo; le accuse non sono state ancora verificate in sede giudiziaria.

L’attacco che ha aperto il fascicolo

Il caso tedesco ruota attorno a un attacco del settembre 2024 contro un’azienda di logistica in Germania, il cui nome non è stato reso pubblico. Gli aggressori avrebbero sottratto i dati aziendali prima di cifrarli — il classico schema di doppia estorsione — chiedendo un riscatto in criptovaluta stimato tra 160.000 e 165.000 dollari. Non sono stati resi noti né il vettore di accesso iniziale né l’eventuale pagamento. Secondo le stime del ministro Reul, Qilin potrebbe aver colpito circa 150 organizzazioni in Germania dal 2024, su un totale globale di circa 4.000 vittime rivendicate dal gruppo.

Gli investigatori tedeschi hanno già identificato altri tre presunti membri del nucleo di Qilin, che si ritiene si trovino attualmente in Russia e quindi fuori dalla portata immediata di un’estradizione.

Qilin: da Agenda a impero del RaaS

Qilin non è un nome nuovo per chi segue il ransomware. Il gruppo è emerso nell’agosto 2022 con il nome Agenda, per poi ribrandizzarsi ed evolversi in un ecosistema criminale completo basato sul modello ransomware-as-a-service: gli sviluppatori mantengono il malware di cifratura, l’infrastruttura di comando e il data leak site su Tor, mentre gli affiliati conducono le intrusioni vere e proprie in cambio di una quota del riscatto. Nel 2025 Qilin è stato uno dei RaaS più prolifici in assoluto, con oltre 40 nuove vittime pubblicate al mese e un picco di circa 100 a giugno.

I vettori di accesso riportati dai ricercatori includono phishing mirato e sfruttamento di vulnerabilità note, con casi documentati che coinvolgono uno zero-day in VPN Check Point e vulnerabilità n-day in VPN Palo Alto. Secondo Resecurity, l’infrastruttura del gruppo si appoggia a reti di bulletproof hosting, rendendo più difficile il takedown dei server di comando e del leak site. A inizio ottobre 2026, poco prima dell’arresto, Qilin ha inoltre stretto un’alleanza operativa con altri due nomi pesanti del panorama ransomware, DragonForce e LockBit, con l’obiettivo dichiarato di condividere strumenti e infrastruttura — un segnale che il settore del cybercrimine organizzato continua a consolidarsi anche di fronte alla pressione delle forze dell’ordine.

Tra le vittime più note rivendicate dal gruppo figurano il produttore automobilistico Nissan, il birrificio giapponese Asahi (con l’esposizione di dati relativi a circa 1,5 milioni di persone), l’editore statunitense Lee Enterprises, l’ente giudiziario australiano Court Services Victoria, l’agenzia federale statunitense ATF (Bureau of Alcohol, Tobacco, Firearms and Explosives) e, secondo fonti giapponesi, anche il colosso chimico Dow Inc. Settori più colpiti: sanità, manifattura e finanza. Nel complesso, secondo le stime citate dagli inquirenti tedeschi, Qilin avrebbe richiesto riscatti per circa 3 miliardi di dollari negli ultimi due anni, incassandone oltre 140 milioni dalle vittime che hanno scelto di pagare.

Perché questo arresto conta

I takedown di infrastrutture RaaS raramente fermano un gruppo nel lungo periodo — lo dimostra la storia recente di LockBit, risorto più volte dopo operazioni internazionali di alto profilo. Ma un’infiltrazione durata mesi nei sistemi interni di un gruppo, con accesso diretto alle comunicazioni di un presunto membro del nucleo operativo, è un tipo di intelligence molto più raro e prezioso: permette di mappare l’intera rete di affiliati, seguire i flussi di criptovaluta oltre il singolo incidente e, potenzialmente, preparare il terreno per ulteriori arresti — compresi i tre membri già identificati ma ancora fuori portata in Russia.

Per i team di difesa, il caso conferma due punti operativi: primo, i vettori di accesso preferiti da Qilin restano il phishing e lo sfruttamento di vulnerabilità note o zero-day su VPN aziendali, quindi patching tempestivo e MFA sugli accessi remoti restano prioritari; secondo, l’alleanza appena annunciata con DragonForce e LockBit suggerisce una condivisione crescente di TTP e infrastruttura tra gruppi, un trend che rende sempre meno utile ragionare “per singola gang” nella costruzione delle detection.

Indicatori e dettagli tecnici noti

# Profilo del gruppo
Nome operativo: Qilin (ex Agenda, dal 2022)
Modello: Ransomware-as-a-Service (RaaS), doppia estorsione
Leak site: pubblicazione su portale Tor dedicato
Hosting: infrastruttura bulletproof (secondo Resecurity, ott. 2025)

# Vettori di accesso documentati
- Phishing mirato
- Zero-day su VPN Check Point
- Vulnerabilità n-day su VPN Palo Alto

# Caso tedesco (settembre 2024)
Vittima: azienda di logistica (nome non divulgato)
Riscatto richiesto: ~160.000-165.000 USD in criptovaluta
Modalità: esfiltrazione dati + cifratura (doppia estorsione)

# Alleanze recenti
Ottobre 2026: condivisione infrastruttura/strumenti con DragonForce e LockBit

# Sospettato
Pseudonimo: "snake"
Nazionalità: russa, 28 anni
Arresto: Osaka, Giappone, 26 maggio 2026
Estradizione: Francoforte, Germania, 2 ottobre 2026

Fonti: comunicato della National Police Agency giapponese dell’8 ottobre 2026; BleepingComputer; Security Affairs; ricostruzione dell’operazione della LKA NRW riportata da LIGA.net sulla base di Der Spiegel e ZDFheute.