Ecopetrol, il ransomware è stato fermato: l'estorsione no

Una difesa che ha funzionato a metà

Ci sono comunicati che raccontano un successo e una sconfitta nella stessa frase. Quello che Ecopetrol ha depositato presso la SEC il 17 luglio 2026 è uno di questi: i controlli di sicurezza dell'azienda hanno bloccato il tentativo di ransomware, e nello stesso periodo un attore esterno ha scaricato dati dagli ambienti di archiviazione in cloud del gruppo e ha chiesto un riscatto minacciando di pubblicarli.

È il punto in cui vale la pena fermarsi, perché è il cuore di come funziona il ransomware oggi. Fermare la cifratura significa evitare il blocco operativo: niente sistemi inaccessibili, niente produzione ferma, niente ripristino da backup sotto pressione. Non significa affatto evitare l'estorsione. Se i dati sono già usciti, la leva del criminale non è più "non potrai lavorare" ma "lo leggeranno tutti", e quella leva non si disinnesca con un controllo perimetrale.

Cosa dice esattamente la comunicazione

Ecopetrol scrive di aver individuato un accesso non autorizzato a determinate risorse digitali proprie e delle controllate, da parte di un attore esterno non identificato, oltre a un tentativo di attacco ransomware bloccato dai controlli di sicurezza implementati nel gruppo.

L'attore ha comunicato richieste estorsive, minacciando di divulgare pubblicamente le informazioni estratte illecitamente. Alla data del rapporto, la società dichiarava di non aver individuato interruzioni materiali delle operazioni critiche, della capacità produttiva o dei servizi essenziali, né impatti finanziari diretti tali da impedirle di proseguire l'attività, né una divulgazione delle informazioni oggetto dell'accesso. Con una precisazione che le comunicazioni al mercato fanno sempre e che è bene non ignorare: la valutazione dell'esposizione è in corso, potrebbe riguardare dati riservati, proprietari o personali, e l'azienda non può garantire che l'evento non abbia effetti negativi rilevanti su attività, reputazione, risultati o condizione finanziaria.

La risposta, punto per punto

L'elenco delle misure adottate è insolitamente dettagliato per un comunicato di questo tipo, e vale la pena leggerlo come una lista di controllo.

1. 01
   Contenimento

   revoca immediata degli accessi non autorizzati e blocco dei meccanismi di download massivo
2. 02
   Analisi

   identificazione e contenimento delle tattiche, tecniche e procedure dell'attore
3. 03
   Autorità

   denuncia penale alla Procura generale della Colombia e cooperazione con le autorità specializzate

Oltre a questi, la società ha dichiarato di aver identificato le infrastrutture esterne usate per archiviare o scaricare le informazioni, allo scopo di ottenerne la limitazione o il blocco; di aver attivato i meccanismi di supporto con gli assicuratori e con i team specializzati dei mercati dei capitali; di aver avviato una valutazione dettagliata delle informazioni scaricate per determinarne la criticità; e di aver rafforzato il monitoraggio dell'infrastruttura tecnologica con protocolli di allerta critica.

Due elementi meritano una nota. Il blocco dei meccanismi di download massivo è la contromisura specifica contro l'esfiltrazione, non contro l'accesso: è il riconoscimento che il danno, in questo schema, si misura in dati che escono, non in porte che si aprono. E la caccia all'infrastruttura esterna di deposito è una scelta operativa poco raccontata, che punta a rendere impraticabile la pubblicazione più che a negoziare.

Perché una società petrolifera è un bersaglio che conta

Ecopetrol non è un'azienda qualunque. È la maggiore società della Colombia, con oltre 19.000 dipendenti, responsabile di più del 60% della produzione di idrocarburi del Paese e della maggior parte dei sistemi di trasporto, logistica e raffinazione. Con l'acquisizione del 51,4% delle azioni di ISA partecipa alla trasmissione di energia e alla gestione dei sistemi in tempo reale (XM), e attraverso ISA e le sue controllate ha posizioni di rilievo nella trasmissione elettrica in Brasile, Cile, Perù e Bolivia.

Un incidente informatico in una società così è, per definizione, un tema di sicurezza nazionale ed energetica, anche quando — come in questo caso — non tocca gli impianti. Il fatto che l'accesso abbia riguardato archiviazione documentale in cloud e non i sistemi industriali è la ragione per cui la produzione non si è fermata, ed è una distinzione che va tenuta ferma prima di leggere titoli allarmistici.

1. Prima del 17 luglio 2026
   Accesso non autorizzato e scaricamento dati

   Ambienti cloud di Ecopetrol e circa 15 controllate.

2. Nella stessa fase
   Tentativo di ransomware bloccato

   I controlli di sicurezza impediscono la cifratura.

3. 17 luglio 2026
   Comunicazione al mercato (Form 6-K)

   Richieste estorsive dichiarate; nessuna interruzione materiale rilevata.

Le incertezze

Nessun gruppo criminale risulta pubblicamente rivendicare l'attacco nella documentazione societaria, e la società stessa dichiara di non aver identificato l'attore: qualunque attribuzione circolasse va considerata non confermata. Non è pubblico il vettore iniziale — la comunicazione parla di accesso agli ambienti di archiviazione, non di come vi si sia arrivati. Non è indicata la data di inizio dell'accesso né la sua durata. Non sappiamo quale sia il contenuto effettivo dei dati associati ai circa 3.300 account, perché la valutazione di criticità era in corso al momento del rapporto. E la cifra dei "circa 15" soggetti coinvolti è quella dichiarata dall'azienda, non verificata da terzi.

La lezione, senza retorica

Se la vostra strategia contro il ransomware si esaurisce nel "non ci faremo cifrare", questo caso è la controprova che non basta. Ecopetrol ha vinto la partita della cifratura e ha comunque una richiesta estorsiva sul tavolo, una denuncia penale aperta e una valutazione di esposizione da completare. Le difese che contano contro il secondo tempo dell'attacco sono altre: limitare il volume di dati scaricabile da un singolo account, accorgersi in tempo reale di un download anomalo da un archivio cloud, sapere cosa c'è dentro quegli archivi prima che lo sappia qualcun altro. Sono controlli meno spettacolari del ripristino da backup, e in questo schema valgono di più.