Per anni la decisione di pagare un riscatto è stata presentata come una scelta razionale tra due mali, il costo del pagamento contro il costo del fermo. I dati più recenti raccontano che questa equazione si è rotta.
Secondo il rapporto Inside the Economics of Cyber Extortion pubblicato da Coveware by Veeam lo scorso aprile, nel primo trimestre del 2026 ha pagato appena il 23% delle vittime che si sono appoggiate a esperti esterni per gestire l’attacco rispetto al 77% del 2019. In sette anni la percentuale si è invertita e la società che gestisce le negoziazioni parla ormai di un fenomeno strutturale, alimentato da capacità di ripristino più solide, dal loro coinvolgimento fin dalle prime ore e da processi decisionali più disciplinati ai vertici delle aziende colpite.
Chi paga, paga di più
La contrazione della platea non significa che l’estorsione renda meno su ogni singolo caso. Nel primo trimestre 2026 il pagamento medio rilevato da Coveware è cresciuto del 15% rispetto al trimestre precedente, salendo a 680mila dollari, ma la metà dei riscatti pagati non ha superato i 301mila dollari.
La distanza tra i due valori rivela la vera struttura del fenomeno, con una massa di estorsioni di taglio medio e un’entità ristretta di pagamenti enormi che sposta i valori complessivi, come il primato assoluto dei 75 milioni di dollari versati nel 2024 al gruppo Dark Angels da una grande azienda americana.
Sulla contrazione dei pagamenti pesa anche la pressione esercitata sul circuito finanziario dell’estorsione. Nel corso del 2025 l’operazione Endgame, coordinata da Europol e FBI, ha portato ad arresti tra i responsabili delle principali famiglie di malware usate come apripista degli attacchi, mentre Stati Uniti ed Europa hanno sanzionato o incriminato i gestori di diversi servizi di hosting a prova di indagine e circuiti di riciclaggio utilizzati dai gruppi ransomware. Colpire l’infrastruttura che permette di incassare e ripulire i proventi rende ogni pagamento più costoso da gestire per chi lo riceve e più rischioso sul piano legale per chi lo effettua, ed è una delle ragioni per cui gli analisti considerano il calo dei pagamenti una tendenza destinata a consolidarsi.
Cosa si compra davvero pagando
La ragione più profonda del calo dei pagamenti sta nella progressiva presa di coscienza di che cosa il denaro compri realmente. Le campagne basate sul solo furto di dati, senza cifratura, stanno perdendo capacità di monetizzare proprio perché le vittime hanno capito che pagare per la promessa di cancellazione non elimina gli obblighi di notifica alle autorità, non riduce in modo apprezzabile il rischio di contenzioso e non impedisce agli attaccanti di conservare, rivendere o riutilizzare i dati sottratti.
Anche sul fronte della cifratura il pagamento garantisce meno di quanto prometta. Il ransomware Obscura, diffusosi a inizio 2026, per un difetto di programmazione corrompe i file in modo irreversibile durante la cifratura, rendendo inutile qualsiasi strumento di decifratura acquistato con il riscatto. La lezione operativa è che nessun pagamento andrebbe valutato senza una verifica tecnica preventiva sulla reale possibilità di recupero, perché il denaro versato a un interlocutore criminale non prevede rimborsi. Casi come questo dimostrano che la perdita definitiva dei dati resta possibile anche a pagamento avvenuto, un elemento che le aziende raramente inseriscono nel calcolo quando stimano il valore della transazione e che ridimensiona ulteriormente la convenienza del riscatto.
Di fronte a vittime sempre più refrattarie, la reazione dei gruppi criminali è l’escalation della pressione personale, che negli episodi più estremi documentati è arrivata al cosiddetto “swatting” con false segnalazioni di emergenza che fanno arrivare squadre armate di intervento a casa dei dirigenti delle aziende sotto estorsione.
La pressione si sposta su chi non può fermarsi
La selezione delle vittime segue una logica sempre più esplicita, che Coveware sintetizza nella categoria dei settori che devono operare, sanità, produzione industriale, servizi essenziali, dove l’interruzione si trasforma in poche ore in pressione sui vertici e sulla reputazione.
A pagare il prezzo più alto sono le organizzazioni di fascia media, che erogano servizi critici senza disporre della segmentazione, della ridondanza e della maturità di ripristino delle grandi imprese, uno squilibrio che gli attaccanti conoscono e sfruttano deliberatamente.
Per le imprese italiane, in larga parte medie e manifatturiere, il profilo del bersaglio ideale descritto dagli analisti internazionali coincide con la fisionomia del sistema produttivo nazionale, ed è questa coincidenza a spiegare una posizione nelle classifiche globali sproporzionata rispetto al peso economico del Paese. Secondo l’ENISA Threat Landscape, infatti, l’Italia è il secondo Paese europeo (e il sesto al mondo) per volume di attacchi ransomware, con l’11,33% degli incidenti registrati nell’Unione, dietro la Germania al 23,4% e davanti a Spagna al 9,8% e Francia al 9,5%.
I rapporti operativi dell’Agenzia per la Cybersicurezza Nazionale confermano questa dinamica anche sul piano interno, indicando il manifatturiero come settore più colpito e un impatto concentrato sulle piccole e medie imprese, quelle con la minore capacità di assorbire il fermo e quindi le più esposte alla pressione del riscatto. La distribuzione territoriale ricalca quella del tessuto produttivo: secondo lo Y-Report 2026 la Lombardia concentra il 36% delle vittime ransomware nazionali, seguita da Emilia-Romagna con il 13%, Lazio e Veneto con il 10% ciascuna e Piemonte con l’8%. È il segno che la partita del riscatto si è spostata, perché a determinare chi paga non è più la forza dell’attacco ma la fragilità operativa di chi lo subisce.
