In un noto forum underground è recentemente apparso un post che sta attirando l’attenzione della comunità di cybersecurity. Un utente con il nickname KaruHunters, figura già conosciuta per la sua attività all’interno di circuiti criminali digitali, ha pubblicato un annuncio in cui sostiene di essere in possesso dei dati compromessi di RIPE NCC (Réseaux IP Européens Network Coordination Centre).

Disclaimer: Questo rapporto include screenshot e/o testo tratti da fonti pubblicamente accessibili. Le informazioni fornite hanno esclusivamente finalità di intelligence sulle minacce e di sensibilizzazione sui rischi di cybersecurity. Red Hot Cyber condanna qualsiasi accesso non autorizzato, diffusione impropria o utilizzo illecito di tali dati. Al momento, non è possibile verificare in modo indipendente l’autenticità delle informazioni riportate, poiché l’organizzazione coinvolta non ha ancora rilasciato un comunicato ufficiale sul proprio sito web. Di conseguenza, questo articolo deve essere considerato esclusivamente a scopo informativo e di intelligence.

Il post nel forum underground

Nel post, KaruHunters dichiara esplicitamente: “Today I am selling RIPE NCC Data Breach, thanks for reading and enjoy!”. L’attore rivendica un presunto attacco informatico avvenuto nell’ottobre 2025 ai danni del RIPE NCC, che avrebbe portato all’esfiltrazione di codice sorgente privato e strumenti interni dell’organizzazione. Viene menzionata anche una compromissione che include un’alberatura dei dati, senza tuttavia fornire dettagli tecnici concreti nel messaggio pubblico.

Un elemento di particolare rilievo è la parte commerciale dell’annuncio: i dati vengono messi in vendita a partire da 500 dollari (con possibilità di negoziazione), mentre l’accesso interno ai sistemi compromessi viene offerto a 1.200 dollari. KaruHunters aggiunge inoltre che le informazioni sottratte riguarderebbero un’entità con un fatturato dichiarato di 37,5 milioni di dollari, sebbene questa cifra debba essere trattata con cautela e verificata.

Il post è stato corredato da un logo del RIPE NCC, un dettaglio che rientra spesso nelle strategie di social engineering adottate dai criminali per conferire maggiore credibilità alle loro offerte. Tuttavia, come spesso accade in questi casi, non sono state fornite prove verificabili a supporto della presunta intrusione, almeno non nel messaggio pubblico. È probabile che eventuali “proof of concept” vengano condivise soltanto in trattative private con potenziali acquirenti.

Cos’è il RIPE

Il RIPE NCC (Réseaux IP Européens Network Coordination Centre) è il Regional Internet Registry (RIR) responsabile per l’Europa, il Medio Oriente e alcune parti dell’Asia centrale. Si tratta di un’organizzazione no-profit con sede ad Amsterdam, fondata nei primi anni ’90, che ha il compito principale di gestire e distribuire le risorse numeriche di Internet, come gli indirizzi IP e i Numeri di Sistema Autonomo (ASN).

Il RIPE NCC non va confuso con il RIPE (Réseaux IP Européens), che è una comunità aperta di operatori di rete e specialisti. Mentre la comunità RIPE si occupa di definire politiche e linee guida per il funzionamento della rete, il RIPE NCC è l’entità che mette in pratica tali decisioni attraverso la gestione operativa delle risorse.

Tra i compiti principali del RIPE NCC rientrano:

• l’assegnazione e la registrazione di indirizzi IPv4 e IPv6;
• la distribuzione dei Numeri di Sistema Autonomo (ASN);
• la gestione del RIPE Database, un archivio pubblico che contiene informazioni tecniche e amministrative relative a indirizzi IP e ASN;
• il supporto tecnico alla comunità di operatori e provider;
• attività di ricerca e monitoraggio della stabilità di Internet a livello globale.

Il ruolo del RIPE NCC è cruciale per il funzionamento ordinato e trasparente della rete, poiché garantisce che l’allocazione delle risorse IP avvenga in modo equo, tracciabile e conforme alle politiche stabilite dalla comunità. In sostanza, rappresenta una delle fondamenta invisibili ma indispensabili per il funzionamento di Internet come lo conosciamo oggi.

Il profilo del threat actors e i potenziali impatti

Il profilo di KaruHunters all’interno del forum mostra un livello di reputazione piuttosto elevato, con 154 punti e la qualifica di “GOD”, indice di un certo riconoscimento da parte della community. L’utente risulta registrato dal mese di agosto 2024, con all’attivo 26 post e 18 thread aperti. Questo dato rafforza l’idea che non si tratti di un nuovo arrivato, ma di un soggetto che ha saputo conquistare credibilità nel contesto criminale.

Se confermato, un data breach ai danni di RIPE NCC avrebbe conseguenze potenzialmente gravi per l’intero ecosistema di internet europeo e non solo, poiché l’organizzazione gestisce informazioni sensibili legate alla connettività di rete globale. Tuttavia, non è raro che su questi forum vengano pubblicati annunci esagerati o falsi, utilizzati più come operazioni di marketing criminale che come reali vendite di dati compromessi.

In conclusione, il post di KaruHunters va preso con la dovuta cautela. Da un lato, la reputazione dell’utente nel forum conferisce un certo peso alla sua dichiarazione; dall’altro, l’assenza di prove tangibili impone di attendere verifiche indipendenti. Quel che è certo è che la semplice comparsa di questo annuncio rappresenta un campanello d’allarme per il settore della sicurezza informatica, ricordando quanto gli attori malevoli siano costantemente alla ricerca di punti critici nelle infrastrutture che regolano internet stesso.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione dell’organizzazione qualora voglia darci degli aggiornamenti su questa vicenda e saremo lieti di pubblicarla con uno specifico articolo dando risalto alla questione. RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali.

L'articolo KaruHunters rivendica un Attacco Informatico ai danni del RIPE NCC proviene da il blog della sicurezza informatica.