Ransomware nel primo semestre 2026
Durante l’anno vengono pubblicati diversi report sullo stato del ransomware. Alcuni si limitano a contare le vittime, altri analizzano l’evoluzione dei gruppi criminali, le tecniche utilizzate e i settori maggiormente colpiti.
Nei giorni scorsi sono stato attirato dal report semestrale di RedACT, pubblicato da RansomNews, che raccoglie e organizza le informazioni provenienti dai Data Leak Site dei principali gruppi ransomware.
Come sempre è bene fare una precisazione: questi dati rappresentano le vittime pubblicamente rivendicate dai gruppi criminali e non la totalità degli attacchi realmente avvenuti. Esistono infatti aziende che decidono di non rendere pubblico l’incidente, così come gruppi che non pubblicano mai i dati delle vittime. Nonostante questo limite, il report rimane un ottimo indicatore per comprendere l’andamento del fenomeno.
Un ecosistema sempre più affollato
Nel primo semestre del 2026 il report censisce oltre 1.500 organizzazioni vittime pubblicamente rivendicate da ben 62 gruppi ransomware differenti, con la comparsa di 13 nuovi gruppi rispetto all’anno precedente.
Non si tratta semplicemente di un aumento numerico.
Quello che colpisce è la capacità del panorama criminale di rigenerarsi continuamente. Ogni volta che un gruppo viene smantellato o perde rilevanza, ne emergono rapidamente altri, spesso costituiti dagli stessi affiliati che cambiano nome, infrastruttura e modalità operative.
Il ransomware non è più una minaccia composta da pochi attori isolati, ma un vero ecosistema criminale estremamente dinamico.
Focus
Quando si parla di ransomware si tende ancora a immaginare un malware che cifra i file e chiede un riscatto.
La realtà del 2026 è molto diversa.
Un attacco moderno segue generalmente questo schema:
- compromissione iniziale (phishing, VPN vulnerabili, credenziali rubate);
- movimento laterale nella rete;
- acquisizione dei privilegi amministrativi;
- esfiltrazione dei dati;
- disattivazione di backup e sistemi di sicurezza;
- cifratura dei sistemi;
- pubblicazione dei dati se il riscatto non viene pagato.
L’obiettivo non è più bloccare i computer, ma mettere l’azienda nella condizione di non poter continuare a lavorare.
Accesso iniziale
│
▼
Escalation privilegi
│
▼
Movimento laterale
│
▼
Esfiltrazione dati
│
▼
Cifratura sistemi
│
▼
Richiesta di riscatto
│
▼
┌──────────────────────────────┐
│ Difesa dell'azienda │
├──────────────────────────────┤
│ Backup offline │
│ MFA │
│ Patch management │
│ Segmentazione │
│ EDR/XDR │
│ Monitoraggio │
│ Incident Response │
└──────────────────────────────┘
I protagonisti del momento
Tra i gruppi più attivi troviamo ancora una volta Qilin, insieme a TheGentlemen, CL0P e Akira.
Negli ultimi anni abbiamo assistito a un continuo cambio di leadership tra le principali organizzazioni criminali. Se in passato i nomi più noti erano LockBit, Conti o BlackCat, oggi il panorama è completamente differente.
Questo dimostra come il problema non sia il singolo gruppo ransomware, ma il modello di business che li sostiene.
Il Ransomware as a Service continua infatti a rappresentare il motore economico di questo fenomeno: sviluppatori che realizzano il malware, affiliati che conducono gli attacchi e una percentuale dei riscatti che viene redistribuita tra i vari attori coinvolti.
Una struttura che ricorda fin troppo quella di una normale azienda, con ruoli, supporto tecnico e persino assistenza agli affiliati.
L’Italia continua ad essere nel mirino
Uno degli aspetti che mi interessa maggiormente osservare riguarda il nostro Paese.
Anche nel primo semestre del 2026 l’Italia compare tra le nazioni maggiormente colpite a livello europeo, con Lombardia ed Emilia-Romagna tra le regioni che registrano il maggior numero di vittime nel report.
Non è un dato sorprendente.
Sono territori con una forte concentrazione di aziende manifatturiere, realtà industriali e PMI che costituiscono la spina dorsale dell’economia italiana.
Ed è proprio questo il punto.
L’obiettivo dei gruppi ransomware non è creare caos indiscriminato, ma massimizzare il profitto. Colpire un’azienda che non può permettersi giorni di fermo produzione aumenta enormemente la probabilità che venga valutato il pagamento del riscatto.
Il ransomware sta cambiando
Negli ultimi anni abbiamo assistito a un’evoluzione significativa.
Se inizialmente il ransomware puntava quasi esclusivamente alla cifratura dei dati, oggi la strategia più diffusa è la doppia estorsione.
Prima vengono sottratti i dati aziendali, successivamente viene avviata la cifratura dei sistemi e, in caso di mancato pagamento, le informazioni vengono pubblicate sui Data Leak Site.
In molti casi la semplice minaccia di divulgare documenti riservati è sufficiente a mettere sotto pressione l’organizzazione, indipendentemente dalla presenza di backup perfettamente funzionanti.
Questo cambia completamente il paradigma della difesa.
Il backup rimane fondamentale, ma da solo non basta più.
La mia riflessione
Ogni volta che esce uno di questi report noto sempre la stessa reazione.
Ci si concentra sul numero delle vittime.
Personalmente credo che sia il dato meno interessante.
Quello che dovrebbe preoccuparci è la normalità con cui questi attacchi stanno diventando parte del rischio operativo di qualsiasi organizzazione.
Il ransomware non è più un evento eccezionale.
È una delle tante minacce che ogni azienda deve mettere in conto, esattamente come un incendio, un guasto hardware o un’interruzione elettrica.
La differenza è che molte aziende investono migliaia di euro in continuità operativa, gruppi di continuità, disaster recovery e ridondanza, ma continuano a considerare la sicurezza informatica come una spesa rimandabile.
Ed è qui che, secondo me, nasce il vero problema.
Non esiste una soluzione miracolosa
Ogni volta che si parla di ransomware qualcuno cerca il prodotto perfetto.
La realtà è molto meno affascinante.
La difesa è fatta di tante piccole attività svolte con costanza:
- backup realmente testati;
- autenticazione multifattore;
- aggiornamenti tempestivi;
- segmentazione della rete;
- principio del minimo privilegio;
- monitoraggio dei log;
- formazione continua degli utenti.
Sono tutte attività poco appariscenti.
Non fanno notizia.
Non vengono pubblicizzate come la nuova soluzione basata sull’intelligenza artificiale.
Ma sono ancora oggi quelle che fanno la differenza quando arriva il momento di gestire un incidente.
Conclusioni
Il report RedACT H1 2026 conferma una tendenza ormai evidente da anni: il ransomware continua a evolversi, cambiano i nomi dei gruppi, cambiano le tecniche e cambiano gli obiettivi, ma il modello economico che lo sostiene rimane estremamente redditizio.
Per questo motivo leggere report come questo non serve ad alimentare allarmismi.
Serve a ricordarci che la sicurezza non è un progetto con una data di fine.
È un processo continuo.
Ed è probabilmente questa la lezione più importante che dovremmo portarci a casa: non bisogna chiedersi se un attacco possa accadere, ma quanto velocemente la nostra infrastruttura sarebbe in grado di riprendersi quando, prima o poi, succederà.
Le opinioni in quanto tali sono opinabili e nulla ti vieta di approfondire l’argomento.
Risorse: