Colpo globale al crimine informatico: smantellati i malware SocGholish, Amadey e StealC

Tra il 15 e il 19 giugno 2026, l'operazione Endgame ha smantellato l'infrastruttura criminale alla base del malware loader SocGholish, del botnet Amadey e dell'infostealer StealC, colpendo la fase iniziale della catena di approvvigionamento che permette attacchi ransomware e furti di dati su larga scala.

Risultati operativi chiave

• 326 server smantellati e 142 domini oscurati . Il BKA (Ufficio Federale Tedesco di Polizia Criminale) riporta cifre simili, parlando di "oltre 320 server e più di 140 domini" .
• Quasi 15.000 siti web bonificati come parte dell'azione contro SocGholish .
• Oltre 41 milioni di euro / 47 milioni di dollari in criptovalute criminali identificate, marcate e congelate .
• 27 milioni di credenziali rubate recuperate da oltre 385.000 vittime .
• Oltre 140.000 computer infetti collegati ad Amadey e StealC solo all'inizio di maggio 2026 .

L'ecosistema del crimine informatico preso di mira

• SocGholish: un malware loader molto diffuso che inietta JavaScript malevolo in siti web compromessi, fungendo da intermediario per l'accesso iniziale utilizzato dai gruppi ransomware .
• Amadey: un botnet e loader che installa payload di secondo stadio, incluso StealC .
• StealC: un infostealer venduto come servizio (malware-as-a-service) per rubare credenziali e dati sensibili .

Le forze dell'ordine e i partner privati coinvolti

• Forze dell'ordine: Canada, Danimarca, Germania, Paesi Bassi, Regno Unito, Stati Uniti, Europol e Eurojust .
• Partner del settore privato: Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, Shadowserver Foundation, Orange Cyberdefense, Bitsight ed ESET .

Significato strategico

Questa operazione segna un chiaro cambio di strategia: non più solo la caccia ai singoli gruppi ransomware, ma lo smantellamento della catena di fornitura del crimine informatico alla sua base. Colpendo loader, infostealer e intermediari di accesso iniziale, le forze dell'ordine hanno reciso i meccanismi di distribuzione da cui dipendono molteplici affiliazioni ransomware. Europol descrive l'operazione come un "colpo storico alle reti criminali informatiche" che indebolisce l'intera catena del valore criminale .

Nota sulle discrepanze nei dati

Il comunicato del BKA arrotonda i dati a "oltre 320 server e più di 140 domini" , mentre altre fonti riportano esattamente 326 server e 142 domini . Queste cifre sono coerenti e non cambiano la portata complessiva dell'operazione.