Il ransomware degli ultimi mesi si gestisce come un’industria. Le operazioni sono professionalizzate: ci sono sviluppatori che creano il software malevolo, specialisti che ottengono accesso alle reti da colpire, negoziatori che gestiscono l’estorsione. Il prodotto si è spostato dal blocco dei sistemi all’estorsione in quanto tale.
Per chi guida un’impresa il punto rilevante riguarda il metodo: l’attacco opportunistico ha lasciato spazio a campagne pianificate, in cui la scelta del bersaglio, la gestione del riscatto e la pressione sulla vittima seguono una logica imprenditoriale. È un cambiamento che rende superati molti assunti su cui le aziende hanno costruito le proprie difese e che sposta la valutazione del rischio dal perimetro tecnologico al consiglio di amministrazione.
Metodi, strategie e target
Il ransomware-as-a-service, il modello che ha alimentato la crescita concedendo in affitto il software malevolo ad affiliati in cambio di una quota dei riscatti e abbassando la soglia d’ingresso anche per chi non ha competenze avanzate, sta ora attraversando una fase di assestamento.
Con margini in calo alcuni operatori abbandonano l’affiliazione per agire in proprio, altri si aggregano in alleanze più ampie, mentre la pratica di cambiare nome a ogni ondata di pressione investigativa rende poco utile l’inseguimento dei gruppi per sigla. Il risultato è un ecosistema frammentato in decine di sigle attive contemporaneamente, nel quale lo smantellamento di un gruppo da parte delle forze dell’ordine libera affiliati, strumenti e infrastrutture che rientrano in circolo sotto altri nomi nel giro di poche settimane.
Sul piano della strategia la novità più netta è lo spostamento dalla cifratura al furto di dati. Secondo Recorded Future circa la metà degli attacchi tracciati rientra ormai nel furto con componente estorsiva, senza alcuna cifratura, a fronte di un volume complessivo salito a 7.200 episodi pubblici nel 2025 contro i 4.900 del 2024.
Alla sottrazione dei dati si affianca una tattica complementare che gli analisti chiamano “recovery denial”: prima di farsi scoprire, gli attaccanti individuano e distruggono i backup raggiungibili dalla rete, eliminano le copie di sicurezza locali e disattivano gli strumenti di recupero, in modo che la vittima non abbia alternative percorribili al pagamento anche quando la cifratura fallisce o viene interrotta.
La selezione dei bersagli dipende soprattutto dalla possibilità di esercitare pressione sulla vittima, più che dalla sua dimensione. Gli attaccanti privilegiano organizzazioni che non possono sopportare l’interruzione di business, dal manifatturiero alla sanità ai servizi finanziari, dove ogni ora di fermo costa più del riscatto.
Il baricentro dimensionale si sta però spostando. Con i grandi gruppi sempre più restii a pagare, diversi operatori hanno riposizionato le campagne verso le medie imprese, considerate più propense a cedere in fretta perché prive di piani di risposta collaudati e di coperture assicurative adeguate.
Cresce inoltre lo sfruttamento della supply chain come moltiplicatore, perché la compromissione di un singolo fornitore di servizi gestiti (MSP) può propagarsi a decine di clienti. È quanto accaduto nella campagna denominata Korean Leaks, in cui il gruppo Qilin ha ottenuto accesso al provider GJTec e, usando le credenziali privilegiate già in suo possesso, si è mosso lateralmente nelle reti di 32 istituzioni finanziarie sudcoreane senza doverle violare, estraendo oltre un milione di file e più di 2 terabyte di dati.
Quando i controlli di sicurezza impediscono di installare i loro strumenti da remoto, gli attaccanti cercano una via dall’interno, offrendo un compenso ai dipendenti dell’azienda bersaglio in cambio di credenziali o dell’esecuzione di software malevolo dalle postazioni aziendali, aggirando così le difese perimetrali.
La gestione del riscatto
Il percorso dell’estorsione è ormai standardizzato. Completata l’esfiltrazione, la vittima riceve una nota di riscatto con un identificativo e le istruzioni per accedere a un portale di negoziazione sul dark web, dove un conto alla rovescia fissa la scadenza oltre la quale i dati verranno pubblicati sul sito di rivendicazione del gruppo. La richiesta iniziale è volutamente sproporzionata e serve ad ancorare la trattativa: le cifre effettivamente pagate risultano in media una frazione minima della domanda di partenza.
Al tavolo siedono figure professionali su entrambi i lati, perché le vittime si affidano a negoziatori specializzati, spesso ingaggiati tramite la polizza assicurativa, che chiedono prove di decifratura su file campione, verificano l’elenco dei dati sottratti e trattano su importi e tempi.
È interessante osservare che la gestione del riscatto riflette oggi una contraddizione evidenziata da tutti gli analisti: mentre gli attacchi aumentano, un numero sempre maggiore di vittime sceglie di non pagare e i proventi complessivi dell’estorsione diminuiscono.
Questa contrazione dei pagamenti spinge verso modelli di estorsione multipla, in cui si combinano sottrazione dei dati, attacchi per rendere indisponibili i servizi e contatto diretto con clienti e partner della vittima per moltiplicare la pressione e rendere il silenzio impossibile. Alcuni gruppi sono arrivati a segnalare essi stessi la violazione alle autorità di controllo, trasformando gli obblighi di notifica in un ulteriore strumento di ricatto. Anche l’esito del pagamento va valutato perché la promessa di cancellazione dei dati sottratti non è verificabile in anticipo e i casi di seconda estorsione a distanza di mesi, sugli stessi dati, sono frequenti. A ciò si aggiunge il profilo legale, perché versare fondi a gruppi colpiti da sanzioni internazionali può esporre l’azienda a responsabilità e richiede il coinvolgimento di legali.
L’AI agisce su entrambi i fronti
Sul piano offensivo l’AI comprime i tempi e abbassa le barriere d’ingresso. L’analisi M-Trends 2026 di Mandiant indica che l’accesso iniziale più frequente nelle operazioni ransomware è oggi il riutilizzo di compromissioni precedenti, mentre il tempo medio per sfruttare le vulnerabilità è ormai negativo: l’attacco arriva spesso prima che il produttore pubblichi la correzione, annullando la finestra utile per applicare le patch. Lo sfruttamento delle vulnerabilità del software ha superato per la prima volta le credenziali rubate come principale via d’accesso, perché i modelli di AI permettono di analizzare il codice vulnerabile, generare exploit funzionanti e distribuirli in ore. Sul fronte del social engineering, l’AI ha eliminato gli indicatori che rendevano riconoscibili i tentativi di attacco: i messaggi generati da modelli linguistici non contengono più errori grammaticali né costruzioni anomale, mentre la sintesi vocale permette di replicare la voce di manager reali per autorizzare operazioni urgenti o aggirare i controlli degli help desk aziendali. L’evoluzione più avanzata è arrivata nell’agosto 2025 con PromptLock, considerato il primo ransomware basato su AI. Si tratta di un prototipo che genera il codice malevolo in tempo reale interrogando un modello linguistico, decide di volta in volta quali file cercare, copiare o cifrare e adatta il comportamento al sistema colpito. Per ora resta una dimostrazione, ma segna una direzione precisa: creare malware sofisticato e capace di modificarsi da solo non richiede più competenze specialistiche, perché è sufficiente un modello ben configurato. Sul fronte della difesa l’AI sta producendo risultati concreti nel rilevamento dei comportamenti anomali, nella correlazione automatica degli allarmi e nella ricostruzione rapida della sequenza di attacco, attività che riducono il tempo tra compromissione e risposta. La difesa diventa così una competizione tra automazioni contrapposte, nella quale la variabile decisiva è la velocità con cui un’organizzazione individua l’attacco e reagisce. Il vantaggio resta, però, sbilanciato verso chi attacca, per una ragione strutturale: l’attaccante può adottare l’automazione senza vincoli, mentre il difensore deve integrarla in processi, responsabilità e requisiti di conformità, con tempi necessariamente più lunghi.
La resilienza richiede governance
Quanto detto finora suggerisce che l’approccio difensivo dal ransomware (come peraltro anche dagli altri attacchi informatici) deve prevedere lo spostamento dalla prevenzione alla resilienza, cioè alla capacità di resistere e ripristinare l’operatività. Si tratta di un’evoluzione che porta il rischio informatico all’interno dei consigli di amministrazione, regolato da metriche economiche che vanno dalla quantificazione delle perdite attese, alle clausole contrattuali di sicurezza verso i fornitori, fino ai requisiti minimi imposti dalle compagnie assicurative come condizione per la copertura.
Sul piano tecnologico l’attenzione si sposta dal blocco delle minacce note al rilevamento dei comportamenti anomali e alla difesa centrata sull’identità, che oggi rappresenta il vero perimetro: autenticazione multifattore resistente al phishing, controllo continuo su account e privilegi, capacità di individuare l’uso improprio di credenziali legittime, che i sistemi tradizionali non distinguono da un’attività normale. I backup immutabili e segmentati restano necessari ma non proteggono dal furto di dati e la loro efficacia dipende da una verifica periodica dei tempi reali di ripristino, l’elemento che più spesso manca quando l’incidente arriva.
Infine, va sottolineato come l’esigenza di un monitoraggio continuo 24/7 spinge molte imprese verso servizi gestiti, perché un presidio attivo richiede competenze difficili da mantenere internamente e il tempo necessario a individuare e contenere l’attacco diventa la metrica su cui misurare l’intero impianto di sicurezza.
Il mercato degli accessi iniziali
Dietro molti attacchi ransomware non c’è chi ha violato la rete, ma chi l’ha comprata già violata. Gli “initial access broker” sono operatori specializzati nel compromettere reti aziendali per rivendere l’accesso ad altri criminali, che lo usano per lanciare l’attacco vero e proprio. Secondo Chainalysis il costo medio di un accesso è sceso da 1.427 dollari all’inizio del 2023 a 439 dollari all’inizio del 2026, per effetto dell’automazione e dell’enorme offerta di credenziali sottratte dai malware specializzati nel furto silenzioso di password. Gli accessi generici si svendono, mentre quelli con privilegi elevati mantengono prezzi alti. Il dato più utile per chi difende riguarda i tempi: i picchi di attività dei broker precedono di circa 30 giorni gli attacchi ransomware veri e propri, una finestra concreta di rilevamento per chi dispone di monitoraggio continuo.
Quando l’attacco comincia al telefono
Con i filtri di posta sempre più efficaci, la voce è diventata il nuovo canale del social engineering. Lo schema più diffuso prende di mira gli help desk aziendali: l’attaccante si finge un dipendente che ha perso l’accesso, fornisce dati personali raccolti in rete o acquistati da precedenti violazioni e ottiene il reset delle credenziali o del secondo fattore di autenticazione. In pochi minuti dispone di un accesso legittimo, che nessun sistema di rilevamento segnala come anomalo. I modelli di sintesi vocale hanno reso la tecnica più insidiosa, permettendo di replicare la voce di manager reali per autorizzare operazioni urgenti. La contromisura più efficace è procedurale prima che tecnologica: nessun reset di credenziali o di autenticazione a più fattori senza una verifica d’identità robusta, per esempio una richiamata su un numero certificato o la conferma da parte del responsabile diretto e formazione specifica per gli operatori di help desk, diventati un bersaglio di prima linea.