Die Ransomware-Gruppierung Qilin hat ihre Aktivitäten in Italien binnen weniger Stunden auf mehrere Unternehmen verschiedener Branchen ausgeweitet. Auf ihrer Leak-Seite listete die Bande Firmen aus Dienstleistung, Landwirtschaft und Fertigung – viele der Behauptungen sind bislang offiziell unbestätigt.
Die als Qilin bekannte Ransomware-Gruppierung hat ihre Angriffswelle auf italienische Unternehmen deutlich ausgeweitet. Innerhalb weniger Stunden setzte die Bande am 23. und 24. August 2026 mehrere Firmen aus unterschiedlichen Wirtschaftssektoren auf ihre Leak-Seite – darunter Unternehmen aus dem Dienstleistungsbereich, der Landwirtschaft und der Fertigungsindustrie [1].
Mehrere Firmen binnen Stunden gelistet
Die jüngste Welle wurde am 23. August 2026 sichtbar, als die Gruppe die italienischen Unternehmen TECNICI ASSOCIATI STP und EUROFLORA SRL nahezu zeitgleich auf ihre Opferliste setzte. Laut technischen Aufzeichnungen erfolgten die Einträge im Abstand von lediglich zwei Sekunden um 22:07:30 Uhr beziehungsweise 22:07:32 Uhr (UTC+3) [1]. Die Leak-Monitoring-Plattform ransomware.live bestätigt die Listung von Tecnici Associati STP durch Qilin mit Entdeckungsdatum 23. August 2026 [2].
Trotz der Listung gelten die Behauptungen bezüglich dieser beiden Unternehmen bislang als offiziell unbestätigt. Gleiches gilt für weitere Einträge: Am 23. August wurde ein Angriff auf EUROFLORA SRL verzeichnet, ein Unternehmen aus Landwirtschaft und Lebensmittelproduktion; der Einbruch wurde am Nachmittag gegen 16:01:21 Uhr (Z) entdeckt [1]. Nahezu zeitgleich traf es den Fertigungsbetrieb S.E.M.P. s.r.l., bei dem der Einbruch auf 18:58:00 Uhr (Z) datiert und der Vorfall nur 22 Sekunden später um 18:58:22 Uhr (Z) entdeckt wurde [1].
Am 24. August setzte sich die Serie fort. Qilin behauptete einen Angriff auf die Aurore Development S.p.A. unter Einsatz von Malware und der Verschlüsselung von Firmendaten. Auch hier liegen derzeit keine gesicherten Belege für die angewandte Zugriffsmethode oder einen tatsächlichen Datendiebstahl vor [1]. Ein weiterer Vorfall betrifft das Professional-Services-Unternehmen Studio BOLDRIN PAOLO, wo die Attacke Berichten zufolge zur Verschlüsselung kritischer Dateien und zu erheblichen Störungen des Betriebsablaufs führte [1].
Double Extortion als Geschäftsmodell
Qilin ist seit dem Jahr 2022 aktiv und operiert nach dem Modell „Ransomware-as-a-Service“ (RaaS). Dabei setzen die Hintermänner auf die sogenannte Double-Extortion-Taktik: Die Daten des Opfers werden nicht nur verschlüsselt, um ein Lösegeld für die Freigabe zu erpressen, sondern vorab entwendet. Im Falle einer Nichtzahlung drohen die Angreifer mit der Veröffentlichung der sensiblen Informationen im Internet, um den Druck auf die betroffenen Organisationen zu erhöhen [1].
Branchenexperten weisen darauf hin, dass insbesondere Unternehmen im Bereich der professionellen Dienstleistungen einem erhöhten Risiko ausgesetzt sind, da sie oft über hochsensible Kundendaten verfügen [1].
Italien als Dauerziel der Gruppe
Die aktuelle Eskalation kommt nicht völlig überraschend. Bereits im Mai 2026 hatte das CSIRT Toscana in einem Bulletin vor verstärkten Aktivitäten der Qilin-Gruppe innerhalb Italiens gewarnt [1]. Die nationale Cybersicherheitsbehörde ACN hatte zudem ein Advisory veröffentlicht, das die systematische Ausrichtung der Gruppe auf kleine und mittlere Unternehmen hervorhebt [3].
Die Zahlen untermauern die Bedrohungslage: Ein Halbjahres-Tracker des Projekts RedACT verzeichnete für das erste Halbjahr 2026 insgesamt 148 bestätigte Ransomware-Behauptungen gegen italienische Organisationen – im Schnitt rund 25 pro Monat. Qilin und LockBit5 führten die Rangliste mit jeweils 21 behaupteten Opfern an. Der Fertigungssektor war mit 59 Fällen (39,9 Prozent) am stärksten betroffen [3]. Geografisch trug der Nordwesten Italiens die Hauptlast mit 63 Opfern (42,6 Prozent), allen voran die Lombardei mit 45 Fällen [3].
Unbestätigte Behauptungen und offene Fragen
Ein zentraler Punkt der aktuellen Welle ist die Unsicherheit über das tatsächliche Ausmaß. Viele der Behauptungen sind noch unbestätigt – unklar bleibt, in welchem Umfang Daten tatsächlich abgeflossen sind und ob die Listungen auf realen Einbrüchen beruhen oder teils auf bloßen Ankündigungen der Gruppe [1]. Leak-Seiten-Zahlen sind nach Einschätzung von Beobachtern Marketingmaterial von Kriminellen, keine geprüften Offenlegungen [3].
Die betroffenen Unternehmen sowie die Sicherheitsbehörden stehen nun vor der Aufgabe, die Integrität der Systeme zu prüfen und das Ausmaß der betrieblichen Beeinträchtigungen zu bewerten [1]. Für die italienische Wirtschaft bleibt die Lage angesichts spezialisierter Ransomware-Akteure angespannt – gerade für mittelständische Betriebe, die über sensible Kundendaten verfügen und nur begrenzte Resilienz aufweisen [3].