Dieci mesi di contrasto nel 2026: prima le infrastrutture, subito dietro gli amministratori
A dieci mesi dall'inizio del 2026, il registro pubblico del contrasto alle infrastrutture del darknet e del cybercrime non è dominato da colpi spettacolari contro i marketplace, ma da un'usura costante contro le tubature: server, domini, botnet e i servizi che li affittano. Questo articolo raccoglie solo le azioni annunciate fino a metà ottobre da agenzie che hanno pubblicato comunicati propri - Europol, il Dipartimento di Giustizia USA, il BKA, la polizia olandese e l'FBI - e cerca il pattern sottostante. Ogni caso rimanda a una fonte che abbiamo aperto noi stessi; voci e affermazioni basate su un solo blog non hanno superato il filtro.
Prima le infrastrutture
L'azione coordinata più grande del periodo è stato il colpo di giugno dell'Operation Endgame contro la distribuzione di malware. Annunciato il 24 giugno dalla coalizione internazionale che sostiene la campagna di lunga data, il colpo ha centrato i kit dropper e infostealer SocGholish, Amadey e StealC: in due settimane sono stati presi in carico 326 server e 142 domini, criptoattività di origine criminale per oltre 41 milioni di euro sono state segnalate e congelate, e 27 milioni di credenziali rubate sono state recuperate. La lista dei partecipanti - Canada, Danimarca, Germania, Paesi Bassi, Regno Unito, Stati Uniti e Microsoft, coordinati da Europol ed Eurojust - mostra quanto ormai routine sia diventato il formato pubblico-privato (operation-endgame.com). Per dare un'idea della scala: solo la fase di novembre 2025 della campagna aveva spento 1.025 server. Giorni prima, la polizia olandese aveva messo offline First VPN, un servizio VPN criminale pubblicizzato nei forum del cybercrime. Nell'operazione del Team High Tech Crime con le autorità francesi, il 19 e 20 maggio, sono stati smantellati 33 server, il presunto amministratore è stato interrogato in Ucraina su richiesta della Francia, e gli utenti del servizio sono stati avvisati - in sostanza, di essere stati osservati per tutto il tempo. L'ufficio di supporto di Europol ha prodotto 83 prodotti analitici per l'inchiesta congiunta (politie.nl). A luglio è toccato all'FBI: il 2 luglio sono stati sequestrati centinaia di domini appartenenti a NetNut, una rete commerciale di proxy residenziali legata al botnet Popa attivo su oltre due milioni di dispositivi di consumo; la homepage dell'azienda è stata sostituita da un banner di sequestro dell'FBI. NetNut è gestita da Alarum Technologies, azienda israeliana quotata in borsa - un promemoria del fatto che 'infrastruttura di botnet' e 'prodotto quotato al Nasdaq' possono descrivere la stessa macchina. Secondo KrebsOnSecurity, il gruppo di threat intelligence di Google ha contato 316 cluster distinti di attori che usavano nodi di uscita NetNut in una sola settimana di giugno (KrebsOnSecurity).Amministratori, non venditori
Le azioni contro i marketplace nel 2026 sono state strette e chirurgiche. All'inizio di maggio, la ZIT di Francoforte e il BKA hanno spento il rilancio di Crimenetwork, la piattaforma di scambio in lingua tedesca il cui predecessore era caduto a dicembre 2024; il presunto gestore, un tedesco di 35 anni, è stato arrestato a Maiorca il 6 maggio sulla base di un mandato europeo. Il rilancio era cresciuto fino a oltre 22.000 utenti e più di 100 venditori, accettava Bitcoin, Litecoin e Monero, e ha lasciato prove di fatturato che puntano oltre i 3,6 milioni di euro, con circa 194.000 euro sequestrati provvisoriamente. Da notare cosa non è successo: nessun arresto di massa dei venditori. I dati di 22.000 utenti sono diventati prove, non una cifra da comunicato stampa (comunicato BKA/ZIT). L'annuncio di ottobre di Europol su KillSec si legge allo stesso modo. L'Operation KillSwitch, guidata dalla polizia criminale di stato e dalla procura di Amburgo, ha preso il controllo il 30 settembre del sito di leak del gruppo ransomware e messo in sicurezza almeno 110 terabyte di dati. Il presunto gestore principale ha sedici anni; il presunto sviluppatore ha compiuto diciotto ad agosto. Tre arresti provvisori e otto perquisizioni si sono distribuiti tra Grecia, Romania, Spagna e Regno Unito, e i domini del gruppo ora reindirizzano a un avviso di sequestro. Europol ha anche riferito che il gruppo ha usato strumenti di IA per costruire e mantenere la propria infrastruttura e per identificare potenziali vittime - un dettaglio che dice tanto sul 2026 quanto qualsiasi numero di arresti (Europol).La lunga coda dei processi
I vecchi casi continuano a maturare fino alle condanne. Il 7 ottobre, i procuratori federali di Chicago hanno annunciato che Raheim Hamilton, co-creatore del marketplace della dark web Empire Market, è stato condannato a quarant'anni di prigione federale e a una multa di cinque milioni di dollari. Empire è stato attivo dal 2018 al 2020 e ha elaborato oltre quattro milioni di transazioni per più di 430 milioni di dollari. La confisca - circa 1.230 bitcoin più tre proprietà in Virginia - è arrivata anni dopo la scomparsa del mercato stesso, ed è questo il punto: i sequestri sono immediati, la giustizia è lenta (justice.gov).La silenziosa quarta corsia: le designazioni
Le sanzioni sono corse in parallelo alla via penale. L'8 ottobre il Regno Unito ha designato Cryptomus, una piattaforma di pagamento in criptovalute precedentemente nota come Certa Payments e Xeltox, nell'ambito del suo regime di sanzioni verso la Russia, insieme a VexPay, TokenSpot e Tsunami Payments (KrebsOnSecurity). Congelare la portata di una piattaforma di pagamento avviene senza banner, ma per l'infrastruttura di cash-out una designazione può mordere più di un sequestro.Cosa dicono i banner, e cosa manca
La grammatica dei banner di sequestro è intatta: i domini di KillSec reindirizzano a un avviso delle forze dell'ordine, la homepage di NetNut porta il banner dell'FBI, Crimenetwork e First VPN sparisono semplicemente. Le assenze sono informative quanto le azioni. Nel registro pubblico raccolto per il 2026 finora:- nessun marketplace della classe internazionale più grande è stato sequestrato - l'unica chiusura è stata un rilancio in lingua tedesca sopravvissuto circa un anno e mezzo;
- nessuna delle azioni raccolte qui è una designazione di un mixer, e l'unico provvedimento sanzionatorio del gruppo punta a una piattaforma di pagamento, non a un servizio di mixing;
- non c'è stata un'ondata di arresti di massa contro i venditori come quelle che avevano segnato le ondate precedenti.