Per anni “Haise” è stato solo un nickname: la voce pubblica di Qilin, il ransomware-as-a-service più prolifico del momento, capace di rivendicare oltre 365 vittime in tre mesi. Il 12 novembre Brian Krebs ha pubblicato su KrebsOnSecurity il risultato di un’indagine OSINT corale che converge su un nome e un volto: Aleksey Mikhailovich Yakovtsev, 36 anni, di San Pietroburgo. Non è una conferma giudiziaria, ma è la ricostruzione più dettagliata mai pubblicata sull’identità dietro una delle RaaS più aggressive in circolazione.

Qilin: dal codice Agenda alla RaaS più attiva del 2026

Qilin emerge nell’agosto 2022, quando Trend Micro individua un ransomware in Go, battezzato Agenda, pubblicizzato come servizio “white label” personalizzabile per ogni affiliato. Il codice presenta somiglianze con le famiglie Black Basta, BlackMatter e REvil, un dettaglio che da solo racconta molto sulla genealogia del cybercrime russofono: gli stessi template, le stesse logiche di business, riciclati di gruppo in gruppo dopo ogni “pensionamento” o rebranding forzato dalle forze dell’ordine. A dicembre 2022 Agenda viene riscritto in Rust, scelta diventata quasi uno standard per i ransomware più recenti grazie alla resistenza al reverse engineering e alla portabilità multipiattaforma.

Il modello di business è quello classico della RaaS: gli affiliati conducono gli attacchi e trattengono tra l’80 e l’85% di ogni riscatto pagato, mentre il core team fornisce piattaforma, malware e infrastruttura di leak site per la doppia estorsione. A differenza di molte partnership russofone, Qilin si distingue per aver reclutato apertamente affiliati anglofoni, e lo stesso leader del gruppo ha dichiarato su Telegram collaborazioni con Scattered Spider e RansomHub — due nomi che, nel 2024 e 2025, hanno dominato le cronache per attacchi ad alto profilo nel settore retail e sanitario.

Tra le vittime rivendicate negli ultimi due anni figurano enti pubblici come la Upper Merion Township negli Stati Uniti, la onlus britannica Big Issue, diversi ospedali londinesi che hanno dichiarato incidente critico, la giapponese Asahi — con conseguente stop alla produzione di birra nell’ottobre 2025 — e, più recentemente, l’Académie d’Amiens in Francia, dove l’attacco del 10 ottobre ha sottratto oltre 1 TB di dati e paralizzato i servizi IT per mesi. Secondo un report NCC Group citato da Krebs, Qilin risulta oggi il gruppo RaaS più attivo in assoluto.

La catena OSINT che porta a “Haise”

La parte più interessante dell’inchiesta di Krebs non è la ransomware story in sé, ma il metodo con cui più società di threat intelligence — Intel 471, Flashpoint, SpyCloud, Constella e la piattaforma AI IntelHawk — hanno incrociato dati pubblici e leak per arrivare a un’identità verosimile. È un caso di scuola di de-anonimizzazione basata su riuso di credenziali e continuità comportamentale online, lo stesso errore che continua a tradire operatori ransomware anche dopo anni di presunta compartimentazione operativa.

• Il forum RAMP (Intel 471): “Haise” si registra sul forum RAMP nel giugno 2022. I log indicizzati del forum — sequestrato dall’FBI nel gennaio 2026 — mostrano che l’amministratore approva la richiesta riferendosi al candidato con il nome Telegram “Alexbigboss44”.
• Handle precedenti: lo stesso “Alexbigboss44” risulta condiviso, nel 2020, con un utente “Rjun” attivo sui forum Exploit e XSS. Rjun è a sua volta un membro di lungo corso di Darkmarket, Verified e Zloy, tutti registrati con la medesima email.
• Il profilo comportamentale (Flashpoint): Alexbigboss44 operava nel mercato di traffico, log e accessi corporate, risultando coinvolto nell’acquisizione di account Facebook e Google Ads compromessi per schemi di frode e gambling.
• Il riuso delle password (SpyCloud): l’email in questione risulta associata, in un leak, a una password che incorpora letteralmente l’handle “Rjun” — l’errore più banale e più comune nella storia della cybercriminalità.
• Il leak di Gosuslugi (Constella): la stessa email compare nei record del portale statale russo dei servizi pubblici Gosuslugi, violato a fine 2025 con oltre 20 milioni di record esposti. Quei record riconducono a un uomo di 36 anni residente a San Pietroburgo: Aleksey Mikhailovich Yakovtsev.
• Il numero di telefono (Flashpoint / IntelHawk): l’ID Telegram di Haise, attivo da oltre 5.000 messaggi dal 2018, viene collegato a un numero di telefono. Il pivot su quel numero fa emergere ulteriori indirizzi email; IntelHawk conclude che il numero appartenesse a un familiare, la cui email sarebbe stata usata dal soggetto per registrarsi su alcuni siti.

Leo Bogod, fondatore di IntelHawk — la piattaforma che ha applicato stylometry e correlazione storica degli username al caso — descrive una progressione tipica: un fraudster alle prime armi tra il 2018 e il 2019, diventato entro il 2023 organizzatore di operazioni più sofisticate. Conclusioni simili sarebbero state raggiunte indipendentemente anche dall’account anonimo Gang Exposed, un ulteriore elemento di convergenza che rafforza, senza però certificare in sede giudiziaria, l’attribuzione.

Perché conta, anche senza una condanna

Krebs riferisce di aver tentato, senza successo, di contattare Yakovtsev via email e telefono. Non c’è, al momento, alcuna reazione pubblica da parte di Qilin. Questo tipo di de-anonimizzazione “a mezzo stampa” non produce arresti automatici — specialmente quando il soggetto risiede in Russia, dove la giurisdizione locale ha storicamente offerto un porto sicuro agli operatori ransomware che non colpiscono target nazionali — ma ha un effetto concreto sulle operazioni: espone l’infrastruttura umana dietro il brand, mina la fiducia degli affiliati nella compartimentazione del core team, e fornisce materiale utile a chi indaga su sequestri di asset, sanzioni OFAC o futuri procedimenti in absentia.

Per i difensori, il valore pratico della vicenda sta altrove: Qilin resta operativo e continuerà a reclutare affiliati, quindi le priorità difensive non cambiano — hardening degli accessi RDP/VPN esposti, segmentazione per limitare la doppia estorsione, backup offline testati, e monitoraggio dei leak site per individuare rapidamente eventuali rivendicazioni. La vicenda Haise/Yakovtsev è soprattutto un promemoria su quanto sia fragile, nel tempo, l’anonimato costruito su riuso di credenziali, handle ricorrenti e la convinzione — sbagliata — che “tanto è passato troppo tempo”.

La catena di evidenze OSINT in sintesi

Handle pubblico RaaS:        Haise (amministratore Qilin, forum RAMP, giu 2022)
Telegram ID collegato:       Alexbigboss44 (>5.000 msg dal 2018)
Handle storico correlato:    Rjun (forum Exploit, XSS, Darkmarket, Verified, Zloy — 2020)
Email riusata:               stessa email su più forum, password contenente "Rjun" (leak SpyCloud)
Fonte di de-anonimizzazione: leak Gosuslugi (RU, fine 2025, >20M record)
Identità risultante:         Aleksey Mikhailovich Yakovtsev, nato 1990, San Pietroburgo
Corroborazione:              pivot su numero di telefono (familiare) -> email aggiuntive
                              stylometria e correlazione storica (IntelHawk)
                              conclusioni indipendenti convergenti (Gang Exposed)
Stato attuale:                nessuna conferma giudiziaria; nessuna reazione nota da Qilin