BianLian via posta ordinaria: ritorno o impostori?

BianLian e l’estorsione via posta ordinaria del 2025: cosa dice l’FBI, chi sono i veri responsabili e come difendere la tua azienda. Guida tecnica completa.

Boston, 25 febbraio 2025. Decine di buste con il timbro dell’ufficio postale locale partono per gli uffici dei dirigenti di alcune aziende statunitensi. La carta è formale, l’intestazione recita BIANLIAN GROUP, la dicitura in copertina invita a leggere immediatamente. All’interno una richiesta di riscatto in bitcoin tra i 250.000 e i 500.000 dollari, un codice QR per il pagamento e dieci giorni di tempo.

1. Chi è BianLian?
2. La campagna di lettere fisiche del febbraio 2025
3. Il vero BianLian e gli impostori: cosa dice l’FBI
4. L’attacco psicologico via posta ordinaria
5. Come difendersi dalla nuova tattica di BianLian?

Sembra il ritorno con metodi pre-digitali di uno dei collettivi ransomware più persistenti dell’ultimo triennio. La realtà, come spesso accade nella cybersecurity, è più sfumata.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento

Chi è BianLian?

Il nome BianLian risponde a un collettivo ransomware di origine russa, attivo ininterrottamente dal giugno 2022. Il termine, ripreso da un’antica forma di teatro cinese in cui gli attori cambiano maschera in pochi istanti, descrive bene il modo di operare del gruppo: capacità di adattamento rapido e identità tecnica multiforme. Il malware è scritto in Go, scelta che consente di compilare per più piattaforme e di complicare il lavoro degli analisti durante le operazioni di reverse engineering.

Nei suoi primi mesi di attività BianLian utilizzava il modello classico della doppia estorsione: cifrava i file delle vittime e contemporaneamente minacciava di pubblicare i dati esfiltrati se il riscatto non veniva pagato. Una formula collaudata dai principali attori del panorama ransomware fino a quel momento.

L’evoluzione verso la sola esfiltrazione

A gennaio 2024 BianLian ha cambiato strategia. Il gruppo ha abbandonato la cifratura dei sistemi e si è concentrato esclusivamente sul furto dei dati e sulla minaccia di pubblicarli. La scelta è documentata nell’advisory congiunto pubblicato il 20 novembre 2024 da FBI, CISA e Australian Signals Directorate, che aggiorna il documento originale del maggio 2023 e ridisegna il profilo operativo del gruppo.

Sul piano tecnico, senza la cifratura il vettore di attacco si semplifica, scompaiono gli strumenti di decifratura che le forze dell’ordine talvolta riescono a recuperare e l’impronta lasciata nei sistemi della vittima si riduce. Sul piano negoziale, la minaccia di una pubblicazione esercita una pressione molto forte sulle aziende soggette a obblighi normativi (sanità, settore finanziario, infrastrutture critiche) anche in assenza di blocchi operativi visibili.

Settori e geografie colpiti

BianLian opera prevalentemente contro organizzazioni statunitensi, australiane e britanniche, con una predilezione per i settori manifatturiero e sanitario. Stando alle analisi pubbliche disponibili, il gruppo ha colpito oltre 522 vittime documentate dall’inizio della sua operatività, fra cui realtà come Save The Children, Boston Children’s Health Physicians e Amherstburg Family Health Team. Il modus operandi sul piano tecnico prevede:

• Accesso iniziale tramite credenziali RDP compromesse acquistate sul dark web;
• Sfruttamento della catena di vulnerabilità ProxyShell su Microsoft Exchange Server (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207);
• Compromissione di dispositivi SonicWall VPN esposti;
• Uso di strumenti open source e script da riga di comando per la ricognizione interna;
• Esfiltrazione dei dati tramite File Transfer Protocol verso server controllati dagli operatori.

Un repertorio tecnico ordinario per un gruppo ransomware moderno, dunque, che si appoggia su credenziali rubate e vulnerabilità note molto più che su tecniche zero-day.

La campagna di lettere fisiche del febbraio 2025

A fine febbraio 2025 succede qualcosa che esce dallo schema. Diversi dirigenti di aziende statunitensi ricevono per posta ordinaria una busta con timbro postale di Boston e una lettera intestata BIANLIAN GROUP. Il testo è formale, l’oggetto è perentorio: “Urgent, read immediately”. Il messaggio sostiene che i sistemi informatici dell’azienda destinataria sono stati compromessi, che dati sensibili sono stati esfiltrati e che verranno pubblicati sul sito di leak del gruppo se non si paga un riscatto entro dieci giorni.

Gli importi richiesti variano in funzione del settore:

• Settore manifatturiero: tra i 250.000 e i 500.000 dollari;
• Organizzazioni sanitarie: 350.000 dollari;

In coda alla lettera figurano un codice QR che rinvia a un portafoglio bitcoin e, in alcuni casi, una password presentata nella sezione “How did this happen?”, apparentemente proveniente da un data leak passato. L’inserimento della password serve a conferire credibilità alla minaccia. Diverse vittime hanno riferito anche di comunicazioni successive via email che rincaravano la pressione.

L’azione ha lasciato perplessi anche gli analisti. Il sito di leak indicato nelle lettere è effettivamente quello reale del gruppo BianLian, eppure qualcosa non torna.

Il vero BianLian e gli impostori: cosa dice l’FBI

Il 6 marzo 2025 l’Internet Crime Complaint Center (IC3) dell’FBI pubblica un advisory ufficiale sulla campagna di lettere postali. Le conclusioni dell’agenzia sono nette: si tratta di tentativi di estorsione fraudolenti condotti da attori sconosciuti che si spacciano per BianLian. Le aziende che hanno ricevuto le lettere e sono state analizzate dai team di incident response non presentavano alcun segno di compromissione reale: nessuna esfiltrazione, nessun accesso anomalo, nessuna traccia degli strumenti tipicamente usati dal collettivo.

In altre parole, qualcuno ha sfruttato la notorietà del marchio BianLian e l’esistenza pubblica del suo sito di leak per costruire un’operazione di estorsione cieca. Lettere inviate a freddo a dirigenti di aziende ad alto valore, scommettendo sul fatto che una minima percentuale dei destinatari paghi senza verificare, sotto pressione. L’inclusione di password trapelate da vecchi data breach pubblici serve proprio a creare l’illusione di una violazione reale.

Il vero BianLian continua a operare come faceva prima: irruzione nelle reti, esfiltrazione silenziosa e richiesta di riscatto digitale, in linea con quanto descritto dall’advisory CISA del novembre 2024. La campagna delle lettere è un fenomeno separato e opportunistico, riconducibile a soggetti che probabilmente non hanno mai avuto accesso ai sistemi delle aziende che hanno minacciato.

L’attacco psicologico via posta ordinaria

Anche se i mittenti delle lettere non sono il gruppo reale, la tattica resta degna di analisi. Il canale fisico introduce nella catena di attacco elementi che le difese digitali aziendali non sono progettate per filtrare.

Il primo aspetto è la credibilità. Una lettera cartacea consegnata personalmente sulla scrivania di un amministratore delegato evoca formalità e gravità diverse rispetto a un’email finita nella casella di posta. La consuetudine ci ha abituati a considerare il phishing come un fenomeno digitale; l’arrivo di una richiesta di riscatto via posta ordinaria spiazza, perché si presenta in un formato che culturalmente associamo a comunicazioni legali, fiscali, istituzionali. C’è poi l’aggiramento delle difese tecniche. Filtri antispam, gateway email, soluzioni di protezione del marchio: tutto questo arsenale resta muto davanti a una busta fisica. La lettera arriva in un canale dove la cybersecurity aziendale non è mai presente.

A questi due elementi si aggiunge la diversificazione tattica. Una richiesta multicanale, costruita con lettera cartacea seguita o accompagnata da email di pressione, genera nella vittima la sensazione che la minaccia sia coordinata, professionale, ineludibile. È un classico schema di ingegneria sociale, applicato però con strumenti diversi da quelli a cui le aziende sono state addestrate a reagire.

Il perimetro psicologico della sicurezza aziendale non coincide con il perimetro tecnologico. Estendere la formazione anche a scenari che non passano dalla rete diventa una necessità che molte realtà non possono più rimandare. Lo dimostrano le crescenti segnalazioni di burnout nei team IT colpiti da campagne estorsive, che evidenziano quanto la pressione psicologica di questi attacchi sia un problema reale anche dopo la fine dell’incidente.

Come difendersi dalla nuova tattica di BianLian?

Le contromisure si dividono su due piani: la prevenzione di una vera compromissione e la gestione di un eventuale tentativo di estorsione fraudolenta. Sul piano preventivo, le indicazioni dell’advisory CISA/FBI per BianLian e per gruppi affini convergono su pochi punti.

• Disabilitare l’esposizione RDP verso internet o proteggerla tramite VPN e MFA obbligatoria;
• Mantenere aggiornati i sistemi Microsoft Exchange applicando le patch contro la catena ProxyShell;
• Revisionare la configurazione dei dispositivi SonicWall VPN e degli altri concentratori VPN aziendali;
• Implementare l’autenticazione multi-fattore su tutti gli accessi remoti;
• Adottare strumenti di rilevamento basati sul comportamento per individuare esfiltrazioni anomale di dati;
• Segmentare la rete aziendale per limitare il movimento laterale;
• Monitorare costantemente il dark web alla ricerca di credenziali aziendali in vendita e di eventuali rivendicazioni di leak.

Verificare periodicamente la robustezza di queste protezioni con un’attività regolare di penetration test permette di individuare i punti deboli prima che lo facciano gli attaccanti.

Formare i dirigenti

Le campagne di estorsione, vere o false, colpiscono spesso direttamente i decisori aziendali. Una formazione mirata che insegni a non reagire impulsivamente a richieste di pagamento, a coinvolgere subito il team di sicurezza e il consulente legale e a verificare ogni minaccia con i log e gli strumenti di incident response riduce drasticamente l’efficacia di questo tipo di attacchi. Per questo motivo molte realtà stanno introducendo programmi strutturati di academy aziendale dedicati alla cybersecurity, che includono moduli specifici sull’ingegneria sociale rivolta ai ruoli dirigenziali.

In conclusione

La vicenda BianLian del 2025 racconta due cose insieme. La prima è che i gruppi ransomware continuano a evolvere il proprio modello operativo. Il passaggio dalla doppia estorsione alla sola esfiltrazione, formalizzato a inizio 2024, mostra una specializzazione crescente verso il furto silenzioso di dati. La seconda è che il successo mediatico di un marchio criminale come BianLian apre la strada a fenomeni paralleli, dove attori diversi sfruttano la notorietà del gruppo per condurre estorsioni opportunistiche su canali tradizionali, posta ordinaria inclusa.

Per le aziende la conseguenza è una sola. La sicurezza informatica non si esaurisce nella protezione del perimetro digitale. Verifiche, formazione dei dirigenti e procedure di risposta agli incidenti devono coprire anche scenari che, fino a ieri, sembravano appartenere a un altro mondo. Quando una busta intestata a un gruppo ransomware finisce sulla scrivania di un amministratore delegato, ciò che fa la differenza non è la lucidità di chi la apre.