Retelit, operatore cloud e di telecomunicazioni, ha subito un attacco informatico. E non lo dice

L’azienda italiana Retelit, tra i maggiori operatori di telecomunicazioni e cloud nazionali, ha subito un grave attacco informatico nel quale sono state sottratte centinaia di gigabyte di file e ne sono stati compromessi i server, parte dei quali resi pubblici in rete, come scoperto da IrpiMedia. Tra i clienti dell’azienda figurano società strategiche quali Leonardo, almeno tre gestori di identità digitali e 193 pubbliche amministrazioni. 

Dietro l’attacco, che ha coinvolto i data center di Retelit, è il gruppo Qilin, nome con cui si identifica un collettivo di anonimi cyber criminali che nel tempo ha dato prova di grandi capacità tecniche e organizzative, arrivando a imbastire azioni congiunte anche ingaggiando specialisti esterni all’organizzazione, reclutati “di progetto in progetto” al fine di avere la meglio sui propri bersagli.

Vittime di una tale importanza sono tuttavia rare: vero e proprio colosso del settore informatico “business to business”, Retelit offre i propri servizi ad altre aziende e pubbliche amministrazioni e a tale scopo è stato certificato anche dall’Agenzia per la cybersicurezza nazionale (Acn).

Non è noto il momento in cui è avvenuto l’attacco, rivendicato da Qilin con un primo post sul proprio sito l’11 luglio 2026. Solo il 14 dello stesso mese, con un secondo post, il gruppo ha pubblicato anche alcuni file – dei documenti interni e dei passaporti – che costituiscono quello che in gergo si chiama sample (un campione, in italiano), a dimostrazione che sono realmente in possesso di un tesoretto di documenti trafugati dalla vittima.

Un documento interno all’azienda, che IrpiMedia ha potuto consultare e nel quale è descritto l’incidente informatico, risale invece ai primi giorni di giugno, periodo nel quale l’azienda ha verosimilmente scoperto e comunicato ai propri clienti la compromissione. Sembra che invece la parte di connettività (quindi il traffico dati), al di là dei data center, non sia stato coinvolto nell’incidente.

Il riscatto

La strategia adottata da Qilin è generalmente quella di cifrare il contenuto dei sistemi del bersaglio, dopo averne sottratto una copia. Segue una richiesta di riscatto, pagato il quale i criminali assicurano di non divulgare le informazioni sottratte e promettono di fornire le chiavi per decifrare eventuali server ancora inaccessibili. 

Evidentemente questo non è stato pagato dal momento che, tra il 30 luglio e il 1 agosto, Qilin ha divulgato un secondo giro di documenti interni dell’azienda che, secondo una stima automatizzata realizzata per questo articolo, ammonterebbe ad almeno 300 gigabyte.

Esplorando le cartelle, saltano subito all’occhio quelle contenenti elenchi di fornitori, documenti relativi alla direzione dell’azienda e altre relative ai clienti, con commesse, progetti e presentazioni che vanno dal 2000 al 2026.

Uno dei documenti più recenti, una presentazione realizzata per il gruppo bancario britannico Barclays, è datata 6 maggio di quest’anno. Altri sono datati ottobre 2025 e aprile 2026 e richiamano la predisposizione di connessioni Internet per le sedi di Leonardo a Genova e Torino. Leonardo è la società italiana a controllo pubblico attiva nei settori della difesa, dell’aerospazio e della sicurezza.  

La fuga è giudicata «preoccupante» da due fonti a conoscenza dei fatti, contattate da IrpiMedia. «L’attacco è chiaramente stato scoperto in ritardo, come deduciamo dall’estensione dell’azione dei criminali che hanno sottratto svariati gigabyte di informazioni prima di essere scoperti e chiusi fuori dal sistema», spiega a IrpiMedia una di esse, che ha richiesto la garanzia di anonimato per poter parlare liberamente: «Il tutto nonostante certificazioni altisonanti e addirittura l’endorsement di Acn, a valle della quale è chiaro come la sicurezza informatica non si faccia con i pezzi di carta», conclude l’esperto.

L’autorità nazionale per la cybersicurezza, infatti, ha tra le sue prerogative quella di assegnare una qualifica per i servizi informatici che possono essere adottati dalla pubblica amministrazione. Tra i meritevoli di questo certificato – per un periodo tra il 2025 e il 2028 – si trova anche il servizio multi cloud di Retelit.

A quasi due mesi dalla scoperta dell’attacco, riportato la prima volta dal blog di settore Bismark, l’azienda non ha mai fatto un comunicato stampa né riconosciuto pubblicamente l’incidente informatico. Contattata da IrpiMedia tramite l’agenzia che ne cura la comunicazione con l’esterno, Retelit non ha immediatamente risposto a una richiesta di commento.

Cosa è Retelit e perché l’attacco è grave

Retelit è comproprietaria di uno della ventina di cavi sottomarini in fibra ottica che permette di far entrare o uscire dati dall’Italia verso il resto della rete. Il cavo, lungo circa 25mila chilometri, collega fisicamente Bari con la Birmania, Marsiglia, il Kenya, l’India e l’Oman. L’infrastruttura pone Retelit al centro di una delle più complesse e vitali infrastrutture informatiche al mondo. 

Inoltre, l’azienda dichiara di gestire 47mila chilometri di fibra ottica sul territorio nazionale, con oltre 35 data center in Italia e 65mila clienti.

Nata a Milano verso la fine degli Anni ‘90, l’azienda è diventata nel tempo uno dei principali punti di riferimento della connettività nazionale. Soprattutto a partire dal 2021, quando il fondo d’investimento spagnolo Asterion l’ha comprata e delistata dalla borsa di Milano. Da allora, si è espansa acquisendo Irideos e una parte delle attività di British Telecom Italia.

Oggi Retelit e il ministero dell’Economia e delle finanze stanno finalizzando l’acquisizione di un altro gigante, Telecom Italia Sparkle, azienda appartenente al gruppo Telecom e quinto operatore Internet per dimensioni al mondo.

«Mentre prima l’azienda cresceva in modo organico, la nuova gestione ha avviato una strategia di acquisizioni aggressive senza un’adeguata integrazione delle nuove realtà e senza implementare una solida governance», osserva una fonte aziendale: «Questa espansione incontrollata ha aumentato esponenzialmente la superficie d’attacco, trasformando Retelit da un’azienda di medie dimensioni in un colosso potenzialmente fragile».

Attacco e reazione

«Dati immutabili a prova di ransomware», si legge in un claim sul sito di Retelit. Tuttavia proprio l’attacco di Qilin mette in discussione la capacità dell’azienda di far fronte ad attacchi particolarmente sofisticati.

Secondo quanto riferito da una fonte coinvolta nell’evento, l’attacco sarebbe partito dal computer di un amministratore di sistema nel quale sono state carpite le password che hanno permesso all’attaccante di compiere dei «movimenti laterali», ovvero sfruttando la propria posizione in un sistema per prendere il controllo di altri sistemi diversi ma collegati.

In questa fase, giudicando l’estensione del danno che ammonta attualmente a svariati gigabyte già resi pubblici, è deducibile che il presidio di sicurezza (Soc, Security Operations Center) non abbia rilevato i movimenti laterali né la cifratura dei server se non quando era troppo tardi.

Un cliente contattato da IrpiMedia ha confermato che il ripristino del backup (la memoria “di scorta”) dei propri sistemi ospitati da Retelit «ha funzionato solo parzialmente», sollevando dubbi sul modo in cui erano stati raccolti in primis i backup. 

Successivamente alla scoperta è intervenuta Acn che, con i suoi tecnici, ha fornito assistenza all’azienda per il ripristino dell’operatività anche se difficilmente un’indagine interna permetterà di svelare l’identità degli attaccanti, che almeno dal 2022 operano nel più completo anonimato.

E proprio eventuali problemi di backup sono cruciali in questi casi: quando un attaccante cifra il contenuto di un sistema, lo fa contando sul fatto che le informazioni in esso contenuto non siano diversamente recuperabili. Se non si è in possesso di backup “sani”, l’unico modo per ripristinare le informazioni perdute è sostanzialmente quello di pagare il riscatto. 

Cert Agid, struttura pubblica che si occupa di sicurezza informatica, prevenzione delle minacce e protezione cibernetica per le pubbliche amministrazioni, è invece venuta a conoscenza dell’incidente informatico solamente il 30 luglio, data nella quale ha iniziato ad avvisare i responsabili di sicurezza di tutte le pubbliche amministrazioni potenzialmente coinvolte o che in ogni caso si servono dei servizi di Retelit.

Tra questi anche Cineca, Lepida e Infocamere. Il primo è un consorzio interuniversitario che fornisce servizi digitali avanzati a università, ricerca e pubbliche amministrazioni. Nel ruolo di “conservatore”, garantisce che i documenti informatici restino integri, autentici, leggibili e reperibili nel tempo. Lepida e InfoCamere forniscono invece servizi Spid e Firma digitale. Tutte e tre rientrano nell’ambito della vigilanza di Cert Agid.