Il 21 luglio 2026 Securelist di Kaspersky ha pubblicato l’analisi di un nuovo schema di estorsione in America Latina in cui gli attaccanti bloccano i dischi aziendali con BitLocker, la cifratura integrata di Windows, e stampano la richiesta di riscatto dalle stampanti dell’ufficio. Il gruppo, che firma “XEntry Team”, chiede riscatti volutamente piccoli e usa solo strumenti già presenti in rete, senza allearsi con un gruppo ransomware.
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Ingegnere elettronico e co-fondatore di HelpRansomware, con oltre 25 anni in cybersecurity, digital forensics e risposta agli attacchi ransomware.
La richiesta di riscatto non è arrivata via email. È uscita dalla stampante dell’ufficio, dopo che Windows aveva già bloccato ogni disco con la propria cifratura.
Il 21 luglio 2026 il team di Securelist di Kaspersky ha descritto un nuovo schema di estorsione investigato in America Latina, costruito quasi interamente con strumenti già presenti nelle reti delle vittime. Invece di distribuire un ransomware su misura, gli attaccanti hanno attivato BitLocker, la funzione di cifratura dell’intero disco integrata in Windows, per bloccare i dischi aziendali e poi chiedere un pagamento per la chiave di ripristino. Kaspersky ha analizzato due incidenti, uno in Messico a maggio 2026 e uno in Colombia a giugno 2026, trovando la stessa firma in entrambi: una schermata blu con la scritta “Hacked by XEntry Team”, le credenziali di dominio che smettevano di funzionare e le note di riscatto che poche ore dopo iniziavano a uscire dalle stampanti.
L’attaccante non ha mai portato il proprio ransomware
Ciò che rende notevole questo schema è ciò che gli manca. Non c’è un cifratore su misura né un programma di affiliazione ransomware. L’avversario usa BitLocker, le Group Policy, l’accesso remoto e gli strumenti di gestione remota già presenti in un dominio Windows, il che mantiene il suo arsenale economico e difficile da segnalare come malevolo. L’obiettivo, come dice Kaspersky, è ottenere l’accesso e monetizzarlo senza mai investire in un gruppo ransomware o allearsi con esso.
Cosa ha osservato Kaspersky
Il comportamento documentato nei due incidenti di Securelist:
I dischi erano cifrati con BitLocker; le vittime notavano prima un’icona a lucchetto accanto ai dischi in Esplora risorse e la richiesta di una chiave di ripristino.
Le macchine mostravano una schermata blu con la scritta “Hacked by XEntry Team” e le credenziali di dominio smettevano di funzionare.
Poche ore dopo, le note di riscatto iniziavano a stampare dalle stampanti dell’ufficio in tutta l’organizzazione.
Gli attaccanti abusavano di meccanismi legittimi, RDP, MSSQL, strumenti di gestione remota (RMM) e Group Policy, per estendere la cifratura dai sistemi critici a ogni macchina sincronizzata con il controller di dominio.
Le richieste di riscatto erano tenute volutamente basse, parte di una tendenza emergente evidenziata da Kaspersky nel report.
Lo schema in numeri
2
incidenti analizzati da Kaspersky, in Messico e Colombia
2
paesi in cui è comparsa la stessa firma
0
gruppi ransomware esterni coinvolti
1
funzione integrata di Windows, BitLocker, che esegue la cifratura
I dati descrivono i due incidenti analizzati da Kaspersky nel report Securelist del 21 luglio 2026, non un totale globale. Il report sottolinea lo schema, strumenti già presenti nell’ambiente e importi di riscatto modesti, più che la scala di una singola vittima.
Perché l’estorsione living-off-the-land è difficile da intercettare
L’obiettivo dell’avversario è ottenere l’accesso all’infrastruttura evitando di investire in gruppi ransomware o di allearsi con essi, sfruttando invece gli strumenti integrati di Microsoft per facilitare la cifratura dei dati e i pagamenti del riscatto.
Come si sviluppa l’attacco
I due casi hanno seguito un percorso simile, da un punto d’appoggio silenzioso fino a una stampante che sforna note di riscatto. La sequenza qui sotto è quella ricostruita da Kaspersky e rispecchia come si sviluppa un attacco ransomware, con le funzioni legittime di Windows al posto di un cifratore dedicato.
Accesso iniziale
Gli attaccanti entrano e abusano di servizi esposti come RDP e MSSQL, poi distribuiscono strumenti di gestione remota (RMM) per mantenere il controllo della rete.
Privilegi e diffusione
Con le Group Policy spingono attività di attivazione e cifratura e pianificano il deployment RMM, passando dai sistemi critici a ogni host sincronizzato con il controller di dominio.
Cifratura
BitLocker viene attivato su tutto il parco macchine. Gli utenti vedono un’icona a lucchetto in Esplora risorse e la richiesta di una chiave di ripristino che non hanno.
Notifica
Le macchine mostrano una schermata blu con la scritta “Hacked by XEntry Team” e le credenziali di dominio smettono di funzionare.
La nota di riscatto
Poche ore dopo, le stampanti dell’ufficio iniziano a produrre la nota di riscatto, con una richiesta volutamente piccola.
Lo schema a colpo d’occhio
Una campagna, nessun ransomware su misura
Kaspersky Securelist, due incidenti in Messico e Colombia, da maggio a giugno 2026
📊 Leggilo così: l’intera campagna è girata su strumenti già presenti in rete, BitLocker, RDP, MSSQL, RMM e Group Policy, senza alcun gruppo ransomware esterno. I numeri descrivono i due incidenti analizzati da Kaspersky, non un totale globale.
Cosa dava all’attaccante ogni meccanismo abusato
La tabella collega ogni strumento legittimo abusato dal gruppo a ciò che gli offriva e al controllo che chiude la falla. Nessuno richiede nuovo software, solo un uso più attento di ciò che Windows fornisce già.
Meccanismo legittimo
Cosa dava all’attaccante
Controllo difensivo
BitLocker
Cifratura dell’intero disco senza malware separato da rilevare
Deposita le chiavi di ripristino BitLocker in Active Directory e segnala eventi di cifratura inattesi
RDP e MSSQL
Accesso iniziale e movimento laterale tramite servizi esposti
Togli i servizi da internet, imponi l’MFA e monitora gli accessi anomali
Strumenti RMM
Controllo remoto persistente che si confonde con le operazioni IT
Consenti solo software RMM approvato e segnala ogni altro agente di gestione remota
Group Policy
Un modo per spingere le attività di cifratura a ogni host del dominio
Limita chi può modificare le GPO e verifica le modifiche agli oggetti Group Policy
Dove le difese falliscono contro questo schema
Poiché qui nulla assomiglia al malware classico, sono proprio le solite assunzioni a lasciarlo passare. Ecco le modalità di fallimento che i casi Kaspersky mettono in evidenza.
⛔ Fidarsi dell’antivirus a firma, quando la cifratura la fa BitLocker, una funzione Microsoft firmata che nessuno scanner segnalerà.
⛔ Lasciare RDP e MSSQL raggiungibili da internet, che è il modo in cui è stato conquistato il punto d’appoggio.
⛔ Considerare legittimo ogni agente di gestione remota, quando l’attaccante installa il proprio per confondersi.
⛔ Non depositare le chiavi di ripristino BitLocker, così un disco cifrato diventa irrecuperabile senza pagare.
⛔ Dare per scontato che un riscatto piccolo sia un problema piccolo, quando l’intero dominio è già stato cifrato.
Un riscatto modesto è pensato per rendere più facile pagare
Kaspersky segnala una tendenza verso richieste di riscatto volutamente piccole. Una cifra bassa è una tattica: abbassa la resistenza della vittima e fa sembrare il pagamento silenzioso più conveniente del ripristino. Tratta la decisione allo stesso modo a prescindere dall’importo, coinvolgi consulenti legali e forze dell’ordine, e ricorda che pagare finanzia la campagna successiva e non garantisce mai una chiave funzionante.
Cosa fare questa settimana
Niente di quanto segue richiede una nuova voce di budget. Chiudono i percorsi specifici che questo schema usa, dai servizi esposti alla cifratura non gestita.
✅ Deposita ogni chiave di ripristino BitLocker in Active Directory o nell’MDM, e genera un avviso quando la cifratura viene attivata su un dispositivo che non era in provisioning.
✅ Togli RDP e MSSQL da internet pubblico, mettili dietro una VPN o un bastion e imponi l’autenticazione a più fattori.
✅ Metti in allowlist il tuo software di gestione remota, così ogni agente RMM inatteso genera un avviso.
✅ Blocca chi può modificare gli oggetti Group Policy e verifica ogni loro modifica.
✅ Mantieni almeno una copia di backup offline o immutabile, fuori dalla portata delle credenziali di dominio.
✅ Prova il ripristino partendo dal presupposto che BitLocker sia stato rivolto contro di te, così chiavi e immagini sono pronte prima che servano.
Il ransomware più economico è quello che possiedi già
Questo schema ricorda che l’estorsione non richiede più malware su misura. Quando il cifratore è una funzione integrata di Windows, la prevenzione è soprattutto configurazione e monitoraggio, non un nuovo prodotto. Se stai rispondendo a un incidente attivo, conserva la nota di riscatto stampata e un disco cifrato prima di reinstallare: è il punto di partenza per recuperare i file crittografati.
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
Il ransomware non dipende più soltanto da gruppi tecnici in grado di sviluppare malware da zero. Oggi fa parte di un’economia criminale organizzata, in cui diversi attori acquistano accessi, noleggiano strumenti, condividono i profitti e fanno pressione sulle vittime attraverso cifratura, furto di dati ed estorsione pubblica.
In questo scenario, il ransomware as a service è diventato uno dei modelli più preoccupanti per aziende, CISO e responsabili IT.
La logica è semplice: gli sviluppatori creano il ransomware e l’infrastruttura; gli affiliati eseguono gli attacchi; entrambi condividono i guadagni. Il risultato è una minaccia più scalabile, più difficile da attribuire e accessibile anche a criminali con competenze tecniche limitate.
Esperti nella Rimozione di Ransomware
Affidati ai nostri professionisti certificati: oltre 25 anni di esperienza nel campo della rimozione di ransomware, recupero dati e sicurezza informatica.
Il ransomware as a service, noto anche come RaaS, è un modello criminale in cui gli operatori sviluppano una variante ransomware e la mettono a disposizione degli affiliati per eseguire un attacco ransomware.
Questi affiliati non devono sviluppare autonomamente il malware: hanno accesso a strumenti già pronti, pannelli di controllo, infrastrutture di pagamento e canali di estorsione.
Nel 2025, il Dipartimento di Giustizia degli Stati Uniti ha spiegato che ALPHV/BlackCat operava secondo un modello di ransomware as a service, in cui gli sviluppatori creavano e aggiornavano il ransomware, gestivano l’infrastruttura illecita e gli affiliati colpivano organizzazioni di alto valore.
L’impatto di questo modello è già evidente nei dati ufficiali. L’FBI, attraverso l’IC3, ha comunicato di aver ricevuto nel 2025 oltre 3.600 segnalazioni di ransomware, con perdite superiori a 32 milioni di dollari.
Per questo motivo, il RaaS non deve essere considerato soltanto un virus, ma un vero e proprio franchising criminale digitale. L’operatore gestisce la tecnologia e il marchio; l’affiliato individua le vittime, compromette gli accessi e distribuisce il payload dannoso. Per un’azienda, ciò significa che l’attaccante non deve essere un esperto di crittografia per provocare una crisi operativa.
Come funziona il business criminale del RaaS
Il modello ransomware as a service suddivide l’attacco in funzioni specializzate. Gli operatori sviluppano il malware, amministrano i siti di divulgazione dei dati, gestiscono i pannelli di controllo e mantengono parte dell’infrastruttura.
Gli affiliati si occupano di entrare nella rete, aumentare i privilegi, muoversi lateralmente, sottrarre informazioni e avviare la cifratura.
Questa divisione dei compiti rende l’ecosistema più resiliente. Anche se un’operazione di polizia colpisce un marchio specifico, i suoi affiliati possono migrare verso un’altra piattaforma, riutilizzare accessi rubati o cambiare fornitore criminale. Per questo motivo, l’azienda non si trova ad affrontare soltanto un malware, ma una vera e propria filiera criminale.
Lo stesso comunicato del Dipartimento di Giustizia su ALPHV/BlackCat indica che, dopo il pagamento da parte di una vittima, sviluppatori e affiliati si dividevano il riscatto.
Questa struttura di ripartizione economica spiega perché il modello RaaS sia così attraente per il cybercrime: abbassa la barriera tecnica, distribuisce le funzioni e consente di ampliare rapidamente la portata degli attacchi.
Perché il ransomware as a service aumenta il rischio per le aziende
Il principale pericolo del ransomware as a service è che riduce la barriera d’ingresso nel cybercrime. In passato, un attacco avanzato richiedeva competenze tecniche, infrastrutture proprie ed esperienza nello sviluppo di malware.
Oggi, un affiliato può acquistare un accesso, utilizzare strumenti già pronti e appoggiarsi a servizi clandestini per lanciare una campagna.
Questo moltiplica il numero di attori in grado di colpire le aziende. Complica inoltre la difesa, perché la stessa famiglia ransomware può essere utilizzata da affiliati diversi, con tecniche e obiettivi differenti.
Per questo motivo, una moderna strategia di cybersecurity aziendale deve partire dal presupposto che il ransomware funzioni ormai come un ecosistema. Non basta bloccare i file dannosi: è necessario proteggere accessi remoti, credenziali, backup, endpoint, server critici e dati sensibili.
Esperti nella Rimozione di Ransomware
Affidati ai nostri professionisti certificati: oltre 25 anni di esperienza nel campo della rimozione di ransomware, recupero dati e sicurezza informatica.
Il ransomware moderno raramente si limita alla cifratura. Molti gruppi ricorrono alla doppia estorsione: prima sottraggono le informazioni e poi cifrano i sistemi. Se la vittima non paga, minacciano di pubblicare i dati sui siti di leak o di venderli nei mercati clandestini.
Nel 2026, il Dipartimento di Giustizia ha dichiarato che soggetti collegati ad ALPHV/BlackCat hanno utilizzato ransomware per bloccare sistemi critici, sottrarre dati sensibili e fare pressione sulle aziende affinché pagassero per recuperare l’accesso alle informazioni.
Questo modello trasforma un attacco ransomware in una crisi di continuità operativa, privacy, reputazione e conformità normativa.
Anche se l’azienda ripristina i sistemi tramite le copie di sicurezza, può continuare a subire le conseguenze della fuga di dati, della pressione mediatica e degli obblighi legali.
Casi recenti: ALPHV/BlackCat e Medusa
I recenti casi ufficiali dimostrano che il ransomware as a service non è un’ipotesi, ma una struttura criminale documentata. Nel 2025, il Dipartimento di Giustizia ha dichiarato che ALPHV/BlackCat aveva colpito oltre 1.000 vittime in tutto il mondo e che i suoi affiliati versavano agli amministratori una parte del riscatto in cambio dell’accesso al ransomware e alla piattaforma di estorsione.
Un altro caso rilevante è Medusa. Nel 2025,CISA ha descritto Medusa come una variante ransomware as a service e ha segnalato che, fino a febbraio di quell’anno, sviluppatori e affiliati avevano colpito più di 300 vittime in settori appartenenti alle infrastrutture critiche.
Questi casi evidenziano due caratteristiche comuni del RaaS: sviluppatori che gestiscono l’infrastruttura criminale e affiliati che eseguono gli attacchi contro le organizzazioni. Per le aziende, il rischio non risiede soltanto in una famiglia di malware, ma nella facilità con cui il modello può essere replicato.
Come il RaaS entra in una rete aziendale
Gli affiliati del ransomware as a service sfruttano spesso vettori noti: phishing, credenziali rubate, servizi esposti, accessi remoti configurati in modo errato, VPN vulnerabili o software non aggiornato.
Una volta all’interno, cercano di aumentare i privilegi, disattivare le difese, individuare i server critici, esfiltrare informazioni e avviare la cifratura nel momento in cui l’impatto può essere massimo.
Ilrapporto FBI/IC3 2025 raccomanda di proteggere i punti di accesso iniziali, registrare e monitorare il traffico di rete, implementare strumenti EDR, segmentare le reti e dare priorità all’applicazione delle patch per le vulnerabilità sfruttate nei sistemi esposti a Internet.
Questo schema dimostra che la prevenzione non dipende da un solo strumento. L’azienda ha bisogno di controllo degli accessi, autenticazione multifattore, gestione delle patch, monitoraggio comportamentale e di un piano di risposta agli attacchi informatici testato prima della crisi.
Come proteggere la tua azienda dal ransomware as a service
La protezione dal ransomware as a service richiede di ridurre le opportunità di accesso per gli affiliati. Ciò significa applicare le patch di sicurezza, eliminare le credenziali predefinite, proteggere VPN e RDP, limitare i privilegi amministrativi, attivare l’MFA, segmentare le reti e monitorare i movimenti laterali nell’ambiente aziendale.
L’FBI raccomanda di creare backup offline o off-site, mantenere procedure di ripristino, cifrare i dati di backup, eliminare le password predefinite, applicare il principio del privilegio minimo e attivare l’MFA, soprattutto per webmail, VPN e account con accesso ai sistemi critici.
Recupero e decrittazione dopo un attacco RaaS
È inoltre fondamentale verificare periodicamente le procedure di recupero. Un backup che non può essere ripristinato non rappresenta una soluzione reale, perché l’azienda deve avere la certezza di poter tornare operativa senza dipendere dall’attaccante.
Se la cifratura è già avvenuta, l’analisi tecnica e la decrittazione ransomware possono rientrare in una strategia di recupero. Devono tuttavia essere accompagnate da contenimento, analisi forense e valutazione dell’esfiltrazione, per stabilire se i dati siano stati sottratti prima della cifratura.
Conclusione
Il ransomware as a service ha trasformato il ransomware in un business criminale scalabile. Non si tratta più soltanto di malware, ma di un’economia clandestina in cui operatori, affiliati, broker di accesso e servizi di estorsione collaborano per compromettere le organizzazioni.
Per CISO e responsabili IT, la risposta deve essere strategica. Proteggere l’azienda dal RaaS significa ridurre gli accessi esposti, rafforzare le credenziali, rilevare i movimenti anomali, mettere in sicurezza i backup, preparare la risposta e testare il recupero prima di un incidente reale.
In HelpRansomware, aiutiamo le organizzazioni a rispondere agli incidenti ransomware, recuperare informazioni critiche e rafforzare la propria cyber-resilienza contro le minacce avanzate.
Se la tua azienda desidera valutare la propria esposizione al ransomware as a service o ha bisogno di supporto durante un incidente, questo è il momento di agire, prima che l’attacco provochi un’interruzione totale dell’attività.
FAQ
Perché il ransomware as a service assomiglia a un franchising criminale
Perché separa le funzioni come se fossero reparti aziendali: alcuni sviluppano il ransomware, altri procurano gli accessi, altri ancora eseguono l’intrusione e gestiscono l’estorsione. Questa divisione consente di ampliare la portata degli attacchi e distribuire i profitti.
Una PMI può diventare il bersaglio di un affiliato RaaS
Sì. Le PMI possono risultare attraenti perché spesso dispongono di minori risorse per la sicurezza, accessi remoti poco protetti o backup non adeguatamente testati. Per un affiliato, una piccola impresa con dati di valore può essere redditizia.
Come capire se un attacco appartiene a un modello RaaS
Lo si può sospettare quando compaiono richieste di riscatto associate a famiglie note, siti di leak, negoziazioni strutturate o tattiche tipiche degli affiliati. L’attribuzione richiede un’analisi tecnica e la valutazione degli indicatori di compromissione.
Perché i backup non risolvono sempre il problema
I backup aiutano a ripristinare i sistemi, ma non eliminano il rischio legato ai dati sottratti. Se si è verificata un’esfiltrazione, l’azienda deve gestire anche l’esposizione delle informazioni, la comunicazione e gli obblighi normativi.
Che cosa deve controllare per prima un’azienda per ridurre l’esposizione
Deve verificare accessi remoti, MFA, account privilegiati, patch critiche, segmentazione, protezione dei backup e capacità di risposta. L’obiettivo è rendere più difficile l’accesso iniziale e limitare l’impatto.
Recupero Dati Rapido e Sicuro
HelpRansomware garantisce un servizio di rimozione ransomware e recupero dati efficace e sicuro, con assistenza continua, 24 ore su 24, 7 giorni su 7.
Il 13 luglio 2026 l’Office of Foreign Assets Control del Tesoro statunitense ha sanzionato due persone e un’entità per aver fornito strumenti e infrastrutture ai gruppi ransomware. I bersagli sono il fornitore VPN First VPN Service (1VPNS), il suo amministratore e un venditore di cryptor che mascherano il malware. L’OFAC afferma che i gruppi ransomware che usavano questi servizi hanno causato miliardi di dollari di danni a imprese e infrastrutture critiche statunitensi.
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Ingegnere elettronico e co-fondatore di HelpRansomware, con oltre 25 anni in cybersecurity, digital forensics e risposta agli attacchi ransomware.
Il ransomware non è un singolo hacker con un portatile. È una filiera, e questa settimana gli Stati Uniti hanno colpito i fornitori.
Il 13 luglio 2026 l’Office of Foreign Assets Control (OFAC) del Tesoro statunitense ha designato due persone e un’entità per aver reso possibili gli attacchi ransomware. L’entità è First VPN Service (1VPNS), un fornitore di rete privata virtuale i cui clienti principali erano attori ransomware, usata per nascondere l’origine degli attacchi, distribuire malware e gestire i dati rubati. L’OFAC ha designato anche l’amministratore di 1VPNS, Dmytro Rashevskyi, e Yegeniy Vladimirovich Silayev, cittadino bielorusso che vende cryptor capaci di mascherare il malware come file innocui. L’azione è stata coordinata con il Regno Unito e segue un’operazione di polizia europea del maggio 2026 contro l’infrastruttura di 1VPNS.
Il ransomware gira su servizi che si possono comprare
L’azione dell’OFAC nomina un fornitore VPN e un venditore di cryptor i cui clienti paganti erano gruppi ransomware. Uno nascondeva l’origine degli attacchi e spostava i dati rubati; l’altro mascherava il malware perché gli strumenti di sicurezza non lo segnalassero. Gli strumenti che fanno funzionare il ransomware sono un mercato, e chi difende ha di fronte l’intero mercato, non un singolo attore.
Cosa ha annunciato il Tesoro
Le designazioni del 13 luglio, secondo i comunicati dell’OFAC e del Dipartimento di Stato:
First VPN Service (1VPNS), un fornitore VPN i cui clienti principali erano attori ransomware e altri criminali informatici.
Dmytro Rashevskyi, amministratore di 1VPNS, che ha usato false identità tra cui Maksim Sorin e Roman Chabanenko per acquistare hosting.
Yegeniy Vladimirovich Silayev, cittadino bielorusso che vende cryptor per mascherare il malware come file innocui.
La misura è stata coordinata con il Regno Unito e segue un’operazione europea del maggio 2026 contro l’infrastruttura di 1VPNS, con il supporto dell’FBI.
Le sanzioni in numeri
3
persone ed entità designate dall’OFAC il 13 luglio
33
server sequestrati nell’operazione europea di maggio 2026
27
paesi in cui erano ospitati i server di 1VPNS
2014
anno in cui 1VPNS iniziò a pubblicizzarsi sui forum criminali
I dati provengono dai comunicati del Tesoro e del Dipartimento di Stato del 13 luglio 2026 e dalle ricostruzioni dell’operazione europea precedente. L’OFAC descrive i danni come miliardi di dollari ma non pubblica una cifra totale esatta, quindi qui non se ne indica una precisa.
Perché mascherare il malware è un servizio a pagamento
I gruppi ransomware che utilizzano i servizi di queste persone hanno causato miliardi di dollari di danni alle imprese e ai fornitori di infrastrutture critiche statunitensi.
Dai forum aperti a un’operazione coordinata
Le sanzioni sono l’ultimo passo di un caso durato anni. Per il quadro generale di come vengono usati questi strumenti, vedi come si sviluppa un attacco ransomware. Segue la sequenza descritta dal Tesoro e dalle ricostruzioni delle forze dell’ordine.
2014
First VPN Service inizia a pubblicizzarsi sui forum criminali, promettendo di non tenere log e di non collaborare con le forze dell’ordine.
Dic 2021
Investigatori francesi e olandesi iniziano a infiltrare l’infrastruttura di 1VPNS e ne raccolgono in silenzio il database utenti.
Mag 2026
Le forze dell’ordine europee smantellano 1VPNS nell’Operazione Saffron con il supporto dell’FBI di Boston, sequestrando 33 server in 27 paesi.
13 lug 2026
L’OFAC designa 1VPNS, l’amministratore Dmytro Rashevskyi e il venditore di cryptor Yegeniy Silayev; lo stesso giorno il Regno Unito sanziona altri attori.
Dopo la designazione
I beni sotto giurisdizione statunitense delle parti nominate sono congelati e alle persone statunitensi è vietata qualsiasi transazione con loro.
L’operazione in quattro numeri
Il caso 1VPNS in quattro numeri
Tesoro USA OFAC e Operazione Saffron, dal 2021 al 2026
📊 Leggilo così: i numeri descrivono una sola azione di contrasto contro l’infrastruttura ransomware, non gli attacchi in sé. La scala è nella filiera, non in una singola violazione.
Cosa significa l’ecosistema per chi difende
La tabella collega ogni servizio abilitante a ciò che offriva ai gruppi ransomware e alla lezione difensiva che un team di sicurezza può trarne.
Servizio abilitante
Cosa offriva ai gruppi ransomware
Lezione difensiva
VPN a prova di proiettile (1VPNS)
Nascondeva l’origine degli attacchi, distribuiva malware e spostava i dati rubati, senza tenere log
Non fidarsi solo dell’IP di origine; sorvegliare le infrastrutture di anonimizzazione
Cryptor (Silayev)
Mascherava il ransomware come file sicuri per eludere il rilevamento a firma
L’antivirus a firma non basta; usare EDR comportamentale con protezione anti-manomissione
Identità false
Permettevano all’amministratore di comprare hosting che altrimenti lo avrebbe rifiutato
Segnalare gli abusi ai provider conta: è così che iniziano le operazioni di contrasto
Sanzioni coordinate
Ora congelano i beni e tagliano fuori gli abilitatori dal mercato USA
Trattare con un soggetto sanzionato comporta un rischio legale a sé
Cosa va storto quando si ignora la filiera
Trattare il ransomware come il problema di un singolo attore ignora come funziona davvero. Ecco le modalità di fallimento che il caso 1VPNS mette in evidenza.
⛔ Trattare il ransomware come un operatore isolato quando gira su una filiera a pagamento di VPN, cryptor e hosting.
⛔ Affidarsi all’antivirus a firma, quando i cryptor sono venduti proprio per sconfiggerlo.
⛔ Fidarsi della geolocalizzazione o dell’IP di origine, quando le VPN a prova di proiettile esistono per nascondere l’origine reale.
⛔ Dare per scontato che pagare il riscatto sia una transazione pulita, quando il destinatario può essere un soggetto sanzionato.
⛔ Ignorare la fase di furto dei dati, dato che gli stessi servizi spostano fuori dalla rete anche i dati esfiltrati.
Pagare un attore ransomware sanzionato può essere di per sé una violazione
Le designazioni congelano i beni statunitensi e vietano alle persone statunitensi le transazioni con le parti nominate. Se un gruppo ransomware si appoggia a infrastrutture sanzionate, pagare il riscatto può esporre la vittima a una responsabilità legale secondaria. Tratta ogni decisione di pagamento come una questione legale, non solo tecnica, e coinvolgi consulenti legali e forze dell’ordine prima di agire.
Cosa fare questa settimana
Niente di quanto segue richiede una nuova voce di budget. Chiudono i percorsi specifici che questo ecosistema vende, dall’evasione all’esfiltrazione anonimizzata. Per la checklist completa, vedi la guida su come prevenire un attacco ransomware.
✅ Spostare il rilevamento dalle firme al comportamento: abilitare l’EDR con protezione anti-manomissione così un payload offuscato viene intercettato all’esecuzione.
✅ Considerare inaffidabili IP di origine e geolocalizzazione, e generare avvisi sul traffico da e verso infrastrutture VPN di anonimizzazione.
✅ Mantenere almeno una copia di backup immutabile o offline, fuori dalla portata delle credenziali di dominio.
✅ Inserire nel piano di risposta una decisione sul pagamento del riscatto che richieda prima la revisione legale e delle forze dell’ordine.
✅ Segnalare gli abusi di infrastruttura ai provider di hosting, perché è parte di come iniziano operazioni come questa.
✅ Provare la risposta partendo dal presupposto che l’esfiltrazione sia già avvenuta, non solo la cifratura.
Il contrasto si sposta sugli abilitatori
Le designazioni colpiscono la filiera dietro il ransomware, non solo gli operatori, e seguono l’operazione europea del maggio 2026. Ogni abilitatore rimosso aumenta il costo di gestire un’operazione ransomware. Se stai rispondendo a un incidente attivo, conserva la nota di riscatto e un campione cifrato prima di reinstallare: è il punto di partenza per recuperare i file crittografati.
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
L’Unit 42 2026 Global Incident Response Report ha analizzato oltre 750 incidenti cyber maggiori in più di 50 paesi. Il risultato che conta di più per la prontezza al ransomware è che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché gli attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Nei casi più rapidi, dall’accesso iniziale all’esfiltrazione sono passati 72 minuti.
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Ingegnere elettronico e co-fondatore di HelpRansomware, con oltre 25 anni in cybersecurity, digital forensics e risposta agli attacchi ransomware.
72 minuti. È il tempo che gli attaccanti più rapidi nei casi di Unit 42 hanno impiegato dall’accesso iniziale al furto dei dati, quattro volte più veloci dell’anno prima. La parte interessante è quello che sempre più spesso non si sono presi la briga di fare dopo: cifrare qualcosa.
Palo Alto Networks Unit 42 ha analizzato oltre 750 incidenti cyber maggiori in ogni settore principale e in più di 50 paesi per il suo 2026 Global Incident Response Report, pubblicato a febbraio 2026 e ripreso dal team il 16 luglio 2026. Il report registra che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, che le debolezze legate all’identità hanno avuto un ruolo materiale in quasi il 90% delle investigazioni e che misconfigurazioni o lacune di copertura hanno materialmente abilitato l’attacco in oltre il 90% dei casi.
I tuoi backup non coprono la parte che sta crescendo
Unit 42 riporta che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché sempre più attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Dal lato dell’attaccante il report descrive questa scelta come più rapida e più silenziosa, e rimuove i segnali su cui i difensori facevano affidamento per rilevare il ransomware. Un piano di restore risponde alla metà dell’estorsione fatta di cifratura. Non risponde alla metà che sta crescendo.
Cosa ha misurato il report
Perimetro e risultati principali, come pubblicati da Unit 42:
Oltre 750 incidenti cyber maggiori analizzati, in ogni settore principale, in più di 50 paesi.
Nei casi più rapidi investigati, gli attaccanti hanno impiegato appena 72 minuti dall’accesso iniziale all’esfiltrazione dei dati, quattro volte più veloce dell’anno precedente.
Le debolezze legate all’identità hanno avuto un ruolo materiale in quasi il 90% delle investigazioni. Il report descrive attaccanti che entrano con credenziali e token rubati invece di forzare le difese.
Nel 23% degli incidenti gli attaccanti hanno sfruttato applicazioni SaaS di terze parti. L’87% delle intrusioni ha coinvolto attività su più superfici d’attacco. Quasi il 48% degli incidenti ha incluso attività basata sul browser.
In oltre il 90% degli incidenti, misconfigurazioni o lacune nella copertura di sicurezza hanno materialmente abilitato l’attacco. Unit 42 collega il dato al tool sprawl, notando che molte organizzazioni usano 50 o più prodotti di sicurezza.
Il report Unit 42 2026 in numeri
750+
incidenti cyber maggiori analizzati in oltre 50 paesi
72 min
dall’accesso iniziale all’esfiltrazione nei casi più rapidi
90%
delle investigazioni con un ruolo materiale delle debolezze di identità
15%
il calo dell’estorsione basata su cifratura rispetto all’anno prima
Tutti i dati provengono dall’Unit 42 2026 Global Incident Response Report come pubblicato sul blog di Palo Alto Networks da Sam Rubin il 17 febbraio 2026. Cifre che circolano altrove e che attribuiscono una percentuale precisa ai casi di estorsione con cifratura non compaiono in questa fonte e non sono usate qui.
La frase che dovrebbe cambiare un piano di recovery
L’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché sempre più attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Dalla prospettiva dell’attaccante è più rapido, più silenzioso e crea pressione immediata senza i segnali su cui i difensori facevano affidamento per rilevare gli attacchi ransomware.
Dove è finita la finestra di risposta
I risultati sui tempi contano più di quelli sui volumi. Un piano che presuppone ore per accorgersi ed escalare è tarato su un avversario che non impiega più ore. Per il quadro generale, vedi la nostra guida su decryption e recovery del ransomware.
Accesso iniziale
Gli attaccanti più spesso entrano con le credenziali invece di forzare. Le debolezze di identità hanno avuto un ruolo materiale in quasi il 90% delle investigazioni Unit 42, con credenziali e token rubati.
Espansione
Estati di identità frammentate permettono all’operatore di elevare i privilegi e muoversi lateralmente senza far scattare le difese tradizionali, secondo il report.
Su più superfici
L’87% delle intrusioni ha coinvolto attività su più superfici d’attacco: endpoint, reti, cloud, SaaS e identità, costringendo i difensori a sorvegliarle tutte insieme.
Per vie fidate
Nel 23% degli incidenti gli attaccanti hanno sfruttato applicazioni SaaS di terze parti, abusando di integrazioni fidate e strumenti dei vendor per aggirare il perimetro.
72 minuti
Nei casi più rapidi investigati, è il tempo totale trascorso dall’accesso iniziale all’esfiltrazione dei dati, quattro volte più veloce dell’anno precedente.
Le percentuali principali del report
Cosa si ripete davvero in 750 investigazioni
Unit 42 2026 Global Incident Response Report, Palo Alto Networks, febbraio 2026
📊 Come leggerlo: sono tassi di ricorrenza su oltre 750 investigazioni, non punteggi di gravità. Le due barre più alte riguardano entrambe l’ambiente del difensore, non la sofisticazione dell’attaccante.
Cosa cambia in un piano ransomware
I controlli sotto seguono i risultati specifici sopra, non consigli generici sul ransomware. Ognuno risponde a qualcosa che il report ha misurato.
Controllo
A quale risultato risponde
Lacuna che chiude
Irrigidimento di identità e accessi
Debolezze di identità materiali in quasi il 90% delle investigazioni
Credenziali rubate trattate come un problema di endpoint
Detection dell’esfiltrazione dati
L’estorsione con cifratura è calata del 15%; gli attaccanti vanno diritti al furto dati
Detection tarata sull’evento di cifratura che potrebbe non arrivare mai
Inventario dei SaaS di terze parti
Il 23% degli incidenti ha sfruttato applicazioni SaaS di terze parti
Integrazioni fidate esentate dallo scrutinio riservato all’infrastruttura core
Visibilità cross superficie
L’87% delle intrusioni ha attraversato più superfici d’attacco
Segnali ricuciti a mano mentre il tempo scorre
Revisione della configurazione prima dell’acquisto
Oltre il 90% degli incidenti abilitato da misconfigurazioni o lacune, con 50 o più prodotti per organizzazione
Comprare un prodotto per risolvere un problema di copertura creato dal tool sprawl
I failure mode che questo report espone
Ognuno dei punti seguenti discende da un risultato misurato, non da una preoccupazione generica sul ransomware.
⛔ Equiparare il recovery al restore. Se l’operatore non ha mai cifrato, non c’è nulla da ripristinare e la copia rubata resta comunque fuori.
⛔ Misurare la prontezza in ore quando la catena documentata più rapida dall’accesso all’esfiltrazione è durata 72 minuti.
⛔ Trattare l’identità come un tema di igiene IT invece che come il vettore d’attacco primario in quasi il 90% delle investigazioni.
⛔ Esentare integrazioni dei vendor e SaaS dallo scrutinio mentre il 23% degli incidenti ci passa attraverso.
⛔ Rispondere a una lacuna di copertura con un altro prodotto, quando un tool sprawl da 50 o più prodotti è parte di ciò che il report collega al dato del 90% sulle misconfigurazioni.
Ripristinare i file non annulla il furto di dati
Quando l’estorsione si allontana dalla cifratura, il backup smette di essere la risposta e ne diventa solo una parte. Unit 42 registra che gli attaccanti saltano sempre più spesso del tutto la cifratura e vanno diritti al furto di dati e alla disruption. Un restore pulito ti restituisce le operazioni. Non ti restituisce la copia che l’operatore ha preso, e non toglie la leva che quella copia gli dà.
Da dove dice di partire il report
Unit 42 distilla oltre 750 investigazioni sul campo in tre priorità. Sono elencate qui nell’ordine del report stesso. Per la checklist completa vedi la guida su come prevenire un attacco ransomware.
✅ Ridurre l’esposizione. Mettere in sicurezza l’intero ecosistema applicativo e trattare connessioni fidate, integrazioni di terze parti, SaaS non gestito e normale attività di browser con lo stesso scrutinio dell’infrastruttura core.
✅ Ridurre l’area di impatto. Irrigidire identity e access management e rimuovere la fiducia non necessaria, il che limita quanto lontano può arrivare un attaccante una volta dentro.
✅ Aumentare la velocità di risposta. Costruire la visibilità per vedere attraverso gli ambienti e la capacità di rilevare, identificare e prioritizzare abbastanza in fretta da contenere prima che l’avversario finisca.
✅ Verificare misconfigurazioni e lacune di copertura prima di aggiungere strumenti, dato che hanno materialmente abilitato l’attacco in oltre il 90% degli incidenti investigati.
✅ Estendere la detection al movimento dei dati, non solo alla cifratura dei file, così che un tentativo di estorsione senza cifratura resti comunque visibile.
La metodologia è la parte utile
Poiché il report nasce dagli ingaggi di incident response di Unit 42 e non da risposte a questionari, le sue percentuali descrivono ciò che i responder hanno trovato sul campo in oltre 750 investigazioni. Questo lo rende utilizzabile come benchmark per le proprie assunzioni. In Italia va letto insieme agli obblighi di notifica al Garante per la protezione dei dati personali, che scattano sul furto di dati anche quando nessun file è stato cifrato. È anche il punto di partenza per recuperare i file crittografati quando la cifratura fa parte del caso.
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
Il 16 luglio 2026 CISA ha aggiunto tre vulnerabilità attivamente sfruttate al catalogo Known Exploited Vulnerabilities: due command injection su Fortinet FortiSandbox e una deserializzazione su Microsoft SharePoint. Per tutte e tre la scadenza di remediation è il 19 luglio. Per tutte e tre il campo KEV sull’uso in campagne ransomware riporta Unknown.
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Ingegnere elettronico e co-fondatore di HelpRansomware, con oltre 25 anni in cybersecurity, digital forensics e risposta agli attacchi ransomware.
Tre giorni. È tutta la distanza tra la comparsa di una vulnerabilità nel catalogo Known Exploited Vulnerabilities di CISA il 16 luglio 2026 e la data entro cui va corretta. Ad aprile lo stesso catalogo ne concedeva quattordici.
CISA ha aggiunto tre vulnerabilità attivamente sfruttate al catalogo KEV il 16 luglio 2026, tutte con scadenza 19 luglio. Due riguardano Fortinet FortiSandbox (CVE-2026-25089 e CVE-2026-39808, entrambe OS command injection raggiungibili senza autenticazione). Una riguarda Microsoft SharePoint (CVE-2026-58644, deserializzazione di dati non attendibili con esecuzione di codice da remoto). Il catalogo conta ora 1.647 voci.
Leggi i metadati KEV prima dei titoli
Per CVE-2026-25089, CVE-2026-39808 e CVE-2026-58644 il campo KEV knownRansomwareCampaignUse riporta Unknown. È il catalogo che dichiara di non avere evidenze che colleghino queste falle a una campagna ransomware. Vanno trattate per quello che il record sostiene: esecuzione di codice da remoto attivamente sfruttata su infrastruttura esposta. Nulla nella voce KEV giustifica l’etichetta ransomware, e l’assenza di quell’etichetta non riduce l’urgenza della scadenza.
Cosa ha pubblicato CISA il 16 luglio 2026
Le tre voci aggiunte al catalogo, come registrate nel JSON KEV:
CVE-2026-25089, Fortinet FortiSandbox OS Command Injection Vulnerability. FortiSandbox, FortiSandbox Cloud e FortiSandbox PaaS contengono una command injection che consente a un attaccante non autenticato di eseguire comandi non autorizzati tramite richieste HTTP costruite ad arte. Advisory del vendor FG-IR-26-141.
CVE-2026-39808, Fortinet FortiSandbox OS Command Injection Vulnerability. FortiSandbox contiene una command injection che può consentire a un attaccante non autenticato di eseguire codice o comandi non autorizzati tramite richieste HTTP costruite ad arte. Advisory del vendor FG-IR-26-100.
CVE-2026-58644, Microsoft SharePoint Deserialization of Untrusted Data Vulnerability. SharePoint contiene una deserializzazione di dati non attendibili che consente a un attaccante non autorizzato di eseguire codice via rete.
Tutte e tre sono state aggiunte il 16 luglio 2026 con dueDate 19 luglio 2026.
L’azione richiesta per tutte e tre è applicare le mitigazioni del vendor in conformità alla Binding Operational Directive 26-04 di CISA e ai Forensics Triage Requirements, oppure dismettere il prodotto se le mitigazioni non sono disponibili.
Il batch KEV del 16 luglio in numeri
3
CVE aggiunti al catalogo KEV il 16 luglio 2026
3
giorni tra inserimento nel KEV e scadenza di remediation
1647
voci totali nel catalogo KEV al 16 luglio 2026
Unknown
uso noto in campagne ransomware per tutte e tre
Tutti i dati sono letti direttamente dal catalogo JSON CISA Known Exploited Vulnerabilities, versione 2026.07.16. Il catalogo è il record autoritativo per dateAdded, dueDate, requiredAction e knownRansomwareCampaignUse. Nessuna interpretazione di terze parti è inclusa nei numeri sopra.
Cosa richiede davvero il catalogo
Applicare le mitigazioni secondo le istruzioni del vendor, assicurando la conformità alla guidance BOD 26-04 Prioritizing Security Updates Based on Risk di CISA e ai Forensics Triage Requirements di CISA. Seguire la guidance BOD 26-04 applicabile ai servizi cloud oppure dismettere l’uso del prodotto se le mitigazioni non sono disponibili.
Come si è chiusa la finestra di patching
Il dato interessante di questo batch non è il punteggio CVSS. È la distanza tra dateAdded e dueDate, e come quella distanza sia cambiata nel 2026 con il passaggio di CISA da BOD 22-01 a BOD 26-04. Per il quadro generale, vedi la nostra guida su decryption e recovery del ransomware.
14 aprile 2026
CVE-2026-32201 (Microsoft SharePoint Server, improper input validation) entra nel KEV con dueDate 28 aprile. L’azione richiesta cita la BOD 22-01. La finestra è di quattordici giorni.
1 luglio 2026
CVE-2026-45659 (SharePoint Server, deserializzazione di dati non attendibili) entra con dueDate 4 luglio. La finestra è di tre giorni.
14 luglio 2026
CVE-2026-56164 (SharePoint, missing authentication su funzione critica) entra con dueDate 17 luglio. Di nuovo tre giorni.
16 luglio 2026
CVE-2026-25089 e CVE-2026-39808 (Fortinet FortiSandbox) entrano con dueDate 19 luglio, sotto BOD 26-04 e Forensics Triage Requirements.
16 luglio 2026
CVE-2026-58644 (Microsoft SharePoint) entra lo stesso giorno con la stessa scadenza del 19 luglio, portando il catalogo a 1.647 voci.
Giorni tra inserimento nel KEV e scadenza
La finestra di remediation si è ristretta da quattordici giorni a tre
Catalogo JSON CISA KEV, versione 2026.07.16
📊 Come leggerlo: ogni barra è la dueDate meno la dateAdded registrate nella voce KEV stessa. La voce di aprile cita la BOD 22-01, quelle di luglio citano la BOD 26-04. La finestra è un cambio di policy, non una stima.
Controlli che corrispondono a queste voci specifiche
I controlli sotto corrispondono a ciò che le voci KEV descrivono davvero, cioè esecuzione di codice da remoto senza autenticazione contro un appliance di sicurezza e un server di collaborazione. Non sono una lista di hardening generica.
Controllo
Perché conta per questo batch KEV
Lacuna che chiude
Inventario degli appliance esposti su internet
Entrambe le voci FortiSandbox descrivono un attaccante non autenticato che raggiunge il prodotto via richieste HTTP
Appliance di cui nessuno è owner perché considerati strumenti di sicurezza
SLA di patching a tre giorni per le voci KEV
L’azione richiesta lega la remediation alle scadenze BOD 26-04, che in questo batch è il 19 luglio
Cicli di patch misurati in settimane contro un catalogo misurato in giorni
Sottoscrizione agli advisory del vendor
Le note KEV rimandano a FG-IR-26-141 e FG-IR-26-100 per il dettaglio delle mitigazioni
Attendere la copertura stampa invece dell’advisory PSIRT
Prontezza di triage forense
L’azione richiesta cita esplicitamente i Forensics Triage Requirements di CISA accanto al patching
Applicare la patch su una macchina sfruttata e distruggere le evidenze
Percorso di dismissione
L’azione richiesta consente di dismettere il prodotto se le mitigazioni non sono disponibili
Nessun piano per un appliance che non si riesce a correggere in tempo
Dove si sbaglia nella pratica
I failure mode sotto non sono rischi ipotetici. Discendono direttamente dalla struttura delle voci KEV di questo batch.
⛔ Trattare un appliance di sicurezza come infrastruttura che protegge invece che come infrastruttura esposta. FortiSandbox è raggiungibile via HTTP in entrambe le voci.
⛔ Leggere un inserimento nel KEV come un allarme ransomware. Il catalogo registra Unknown sull’uso in campagne ransomware per tutte e tre le voci, e inventare quel collegamento è un errore di reporting, non una precauzione.
⛔ Pianificare la remediation su un ciclo mensile mentre il catalogo emette scadenze a tre giorni.
⛔ Applicare la patch e non fare mai triage, quando l’azione richiesta include il triage forense nell’obbligo.
⛔ Dare per scontato che la scadenza vincoli solo le agenzie federali, e quindi ignorare che quella scadenza esiste perché lo sfruttamento è già confermato.
La patch non dice se sei già stato raggiunto
Una voce KEV significa che lo sfruttamento è stato osservato da qualche parte, prima che la scadenza fosse fissata. Applicare la correzione del vendor chiude la porta ma non dice nulla su chi l’abbia attraversata prima. È esattamente per questo che l’azione richiesta per queste tre voci affianca alla mitigazione i Forensics Triage Requirements di CISA invece di limitarsi al patching.
Cosa fare entro il 19 luglio
Nulla di quanto segue richiede una nuova voce di budget. Discende dall’azione richiesta registrata nelle voci KEV stesse, nell’ordine che riduce l’esposizione più in fretta. Per la checklist completa vedi la guida su come prevenire un attacco ransomware.
✅ Verificare se FortiSandbox, FortiSandbox Cloud o FortiSandbox PaaS sono presenti in qualunque punto del parco macchine, incluse le istanze in carico al team di sicurezza e non all’IT.
✅ Applicare le mitigazioni degli advisory Fortinet FG-IR-26-141 e FG-IR-26-100 e la voce dell’update guide Microsoft per CVE-2026-58644.
✅ Controllare se le voci SharePoint aggiunte l’1 e il 14 luglio, CVE-2026-45659 e CVE-2026-56164, sono ancora aperte. Le loro scadenze sono già passate.
✅ Eseguire triage forense su ogni istanza raggiungibile da internet prima della correzione, invece di considerare la patch come la fine del lavoro.
✅ Dove un prodotto non è mitigabile in tempo, usare il percorso di dismissione che l’azione richiesta consente esplicitamente.
Il catalogo è leggibile da una macchina, quindi usalo così
CISA pubblica il KEV come feed JSON, quindi dateAdded, dueDate, requiredAction e knownRansomwareCampaignUse possono essere confrontati automaticamente con un inventario asset invece di essere letti da un articolo di giornale. In Italia la stessa logica di prioritizzazione basata sul rischio è coerente con gli obblighi di gestione delle vulnerabilità introdotti dal recepimento della direttiva NIS2 e con gli avvisi di sicurezza pubblicati dall’ACN. È anche il punto di partenza per recuperare i file crittografati se il triage rileva un’intrusione.
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
Il Threat Hunter Team di Symantec ha documentato una nuova famiglia ransomware chiamata Spirals che è passata dall’accesso iniziale al furto dati e alla cifratura in meno di 24 ore. Prima di cifrare, l’operatore ha fermato i servizi di 23 prodotti di backup, database e virtualizzazione. Symantec ha osservato finora un solo caso e precisa che non è chiaro se Spirals sia destinata a un uso più ampio.
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Ingegnere elettronico e co-fondatore di HelpRansomware, con oltre 25 anni in cybersecurity, digital forensics e risposta agli attacchi ransomware.
A un operatore ransomware non servono settimane dentro una rete. Nel caso documentato da Symantec ne è bastato meno di un giorno.
I ricercatori del Threat Hunter Team di Symantec riferiscono che un nuovo attore chiamato Spirals ha violato un’azienda di servizi IT nel Sud est asiático a giugno 2026, ha sottratto dati e cifrato la rete in meno di 24 ore. L’ingresso è avvenuto tramite un server Internet Information Services esposto su internet. Prima della fase di cifratura, un payload PowerShell ha disattivato Microsoft Defender e fermato i servizi di 23 prodotti di backup, database e virtualizzazione, tra cui Veeam, VMware, Hyper-V, SQL Server, Oracle e PostgreSQL. Symantec ha osservato Spirals in un único caso.
Il servizio di backup fa parte della superficie di attacco
Spirals non ha faticato a superare i backup: li ha spenti. Un payload PowerShell ha fermato i servizi di 23 prodotti di backup, database e virtualizzazione prima che venisse cifrato un solo file. Un backup che si può fermare con credenziali di dominio non è una garanzia di ripristino.
Cosa ha documentato Symantec
La catena di intrusione riportata dalla ricerca del Threat Hunter Team:
Accesso iniziale tramite un server Internet Information Services pubblicato su internet, seguito da una web shell ASP.NET.
Bypass dello User Account Control, attivazione del Desktop remoto e creazione di un account locale per la persistenza.
Dump dell’hive di registro SAM e della memoria del processo LSASS per estrarre credenziali.
Uso di WMI per il movimento laterale verso più di una dozzina di sistemi, con revsocks, Chisel e tunnel Cloudflare come accesso remoto ridondante.
I numeri del caso Spirals
24
ore dall’accesso iniziale alla cifratura
23
prodotti di backup, database e virtualizzazione fermati
12+
sistemi raggiunti con movimento laterale via WMI
6
giorni prima della minacciata pubblicazione dei dati
Tutti i dati provengono dall’analisi del Threat Hunter Team di Symantec su una singola intrusione presso un’azienda di servizi IT nel Sud est asiático a giugno 2026. Symantec segnala di aver visto Spirals in un solo caso, quindi non è ancora chiaro se la famiglia sia pensata per un impiego criminale più ampio o se fosse un payload su misura per questo specifico attacco.
Come il payload si è nascosto in piena vista
L’operatore ha iniziato a distribuire il payload ransomware nella rete della vittima usando PsExec eseguito come SYSTEM. Il payload era chiamato bitsadmin.exe, probabilmente per mascherarsi da utility legittima di Windows associata al Background Intelligent Transfer Service.
Un’intrusione di 24 ore, passo per passo
La velocità è il tratto distintivo di questo caso. La compressione dell’intera catena in una sola giornata elimina la finestra di risposta che molti piani danno per scontata. Per lo schema generale, vedi come si svolge di solito un attacco ransomware. Di seguito la sequenza descritta da Symantec. Per il quadro generale, vedi la nostra guida su decryption e recovery del ransomware.
Ora 0
Un server Internet Information Services esposto su internet viene compromesso e viene caricata una web shell ASP.NET.
Prime ore
L’operatore aggira lo User Account Control, attiva il Desktop remoto e crea un account locale, poi effettua il dump dell’hive SAM e della memoria LSASS per le credenziali.
Fase intermedia
WMI viene usato per spostarsi lateralmente su più di una dozzina di sistemi, mentre revsocks, Chisel e tunnel Cloudflare garantiscono accesso remoto ridondante.
Prima della cifratura
Un payload PowerShell disattiva Microsoft Defender, ne rimuove le definizioni e ferma i servizi di 23 prodotti di backup, database e virtualizzazione.
Sotto le 24 ore
PsExec distribuisce il payload come SYSTEM con il nome bitsadmin.exe, i file vengono cifrati e viene fissata una scadenza di sei giorni per la pubblicazione.
Dove è finito il tempo
Il caso Spirals in quattro numeri
Threat Hunter Team di Symantec, intrusione di giugno 2026
📊 Come leggerlo: ogni cifra viene da una singola intrusione documentata da Symantec, non da una campagna. Il dato non è il volume, è la velocità.
Cosa difende da questo schema
Le contromisure seguenti corrispondono ai passaggi specifici osservati da Symantec, non al ransomware in generale. Ognuna chiude una falla che questo operatore ha effettivamente sfruttato.
Controllo
Perché conta contro Spirals
Falla che chiude
Backup immutabile o offline
L’operatore ha fermato i servizi di 23 prodotti di backup e database
Backup raggiungibili con credenziali di dominio
Inventario degli asset esposti
L’ingresso è stato un server IIS pubblicato sul web
Servizi esposti che nessuno sta monitorando
Tamper protection sull’EDR
Un payload PowerShell ha disattivato Defender e rimosso le definizioni
Sicurezza che si può spegnere
Monitoraggio di egress e tunnel
revsocks, Chisel e tunnel Cloudflare hanno dato accesso ridondante
Canali in uscita che sembrano legittimi
Cosa va storto quando la catena è così rápida
Gran parte dei piani di ripristino presuppone il tempo di accorgersi, escalare e contenere. Una catena sotto le 24 ore elimina questo presupposto. Ecco i punti di rottura che il caso Spirals mette in evidenza.
⛔ Considerare il backup una garanzia di ripristino quando il servizio di backup si può fermare dalla stessa rete.
⛔ Affidarsi alla sola detection endpoint, mentre l’operatore disattiva Defender e ne rimuove le definizioni prima di cifrare.
⛔ Pianificare una finestra di risposta di giorni, quando l’intera intrusione si è chiusa in meno di 24 ore.
⛔ Lasciare un server esposto su internet senza sapere che esiste.
⛔ Concentrarsi sul ripristino dei file e dimenticare il furto dei dati, che fa comunque scattare gli obblighi di notifica.
Ripristinare i file non annulla il furto dei dati
Spirals ha esfiltrato i dati prima di cifrare e ha fissato una scadenza di sei giorni per la pubblicazione. Anche un ripristino pulito da backup lascia la copia sottratta nelle mani dell’operatore, con gli obblighi legali e reputazionali che ne derivano. In Italia questo significa valutare la notifica al Garante Privacy entro 72 ore ai sensi del GDPR. Considera il furto certo e pianifica il percorso di notifica insieme a quello tecnico.
Cosa fare questa settimana
Nessuna delle azioni seguenti richiede una nuova voce di budget. Sono le falle specifiche usate in questa intrusione, nell’ordine che riduce più in fretta l’esposizione. Per la checklist completa vedi la guida su come prevenire un attacco ransomware. Per la checklist completa vedi la guida su come prevenire un attacco ransomware.
✅ Tieni almeno una copia di backup immutabile o offline, fuori dalla portata delle credenziali di dominio.
✅ Inventaria ogni servizio esposto su internet e rimuovi o aggiorna ciò che non deve essere pubblicato.
✅ Attiva la tamper protection perché la sicurezza endpoint non sia disattivabile da un host compromesso.
✅ Genera alert su PsExec, bitsadmin e creazione di processi WMI visti su più host in poco tempo.
✅ Sorveglia utility di tunneling come revsocks e Chisel e i tunnel Cloudflare non previsti.
✅ Prova un ripristino partendo dal presupposto che il server di backup sia già compromesso.
Symantec ha pubblicato gli indicatori
Il report di Symantec include indicatori di rete e hash dei file dell’attacco Spirals documentato, così i difensori possono cercare lo schema prima che arrivi alla fase di cifratura. Se stai gestendo un incidente in corso, conserva la richiesta di riscatto e un campione cifrato prima di reinstallare qualsiasi macchina: è il punto di partenza per recuperare i file crittografati. È anche il punto di partenza per recuperare i file crittografati.
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
La diffusione dell’intelligenza artificiale nelle aziende coincide con un aumento costante dei rischi informatici. Questa trasformazione tecnologica ha ampliato le opportunità di innovazione, ma ha anche esposto maggiormente le organizzazioni a nuove minacce.
In questo scenario, il data poisoning rappresenta una minaccia critica per le organizzazioni che addestrano, perfezionano o collegano modelli di intelligenza artificiale a informazioni aziendali. Il suo obiettivo è silenzioso: contaminare i dati utilizzati dall’IA per apprendere, classificare, consigliare o rispondere.
Soccorso Immediato per Ransomware
Il ransomware non deve paralizzare la tua attività. I nostri specialisti sono pronti a recuperare i tuoi dati e proteggere i tuoi sistemi.
Quando i dati aziendali vengono integrati nei modelli di intelligenza artificiale senza controlli adeguati, qualsiasi alterazione può compromettere direttamente la qualità delle decisioni.
Il modello può prendere decisioni errate con un’apparenza di precisione, creando un rischio diretto per CISO, responsabili IT, uffici legali, team di compliance e comitati direttivi.
Questa preoccupazione non è teorica: secondo l’FBI, nel 2025 i reati commessi tramite Internet hanno generato quasi 21 miliardi di dollari di perdite segnalate negli Stati Uniti. Inoltre, l’agenzia ha ricevuto oltre un milione di segnalazioni, con quelle legate all’intelligenza artificiale tra le più costose.
Che cos’è il data poisoning
Il data poisoning, o avvelenamento dei dati, è la manipolazione intenzionale dei dati utilizzati da un sistema di intelligenza artificiale durante l’addestramento, il fine-tuning, l’aggiornamento o la consultazione.
OWASP lo definisce come un attacco in cui l’aggressore manipola i dati di addestramento per provocare un comportamento indesiderato del modello. Nelle applicazioni basate su LLM, OWASP avverte inoltre che l’avvelenamento può colpire i dati di pre-addestramento, fine-tuning o embedding, introducendo vulnerabilità, distorsioni o backdoor.
Il rischio è particolarmente grave perché compromette l’integrità del modello. Se un’azienda alimenta la propria IA con dati contaminati, il sistema può apprendere schemi falsi e applicarli successivamente a processi reali.
Per questo motivo, il data poisoning deve essere considerato parte di una strategia avanzata di cybersecurity aziendale, soprattutto quando i modelli di IA intervengono in decisioni critiche.
Perché il data poisoning preoccupa le aziende che utilizzano l’IA
Molte organizzazioni non utilizzano più l’IA soltanto in test interni. La integrano in assistenti aziendali, sistemi di analisi, motori documentali, piattaforme di assistenza clienti, strumenti di automazione e soluzioni di sicurezza.
Ogni integrazione amplia la superficie di attacco, perché ogni fonte di dati può diventare un punto di contaminazione: repository pubblici, database interni, fornitori esterni, ticket, log, moduli o contenuti generati dagli utenti.
Nel 2025 il NIST ha pubblicato il rapporto Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations, nel quale classifica gli attacchi contro i sistemi di machine learning in base al ciclo di vita, agli obiettivi dell’aggressore e alle possibili misure di mitigazione.
Questa tassonomia conferma che la sicurezza dell’IA richiede controlli specifici, non soltanto misure tradizionali applicate a reti, server o endpoint.
Come funziona un attacco di data poisoning
Un attacco di data poisoning può verificarsi in diverse fasi del ciclo di vita dell’IA. Nei modelli addestrati da zero, l’aggressore tenta di inserire campioni manipolati nel set di addestramento.
Nel modelli personalizzati per un’azienda, può contaminare il dataset utilizzato per il fine-tuning. Nei sistemi RAG, può alterare documenti, basi di conoscenza o embedding consultati dal modello per generare le risposte.
Quest’ultimo scenario è particolarmente rilevante per le aziende che utilizzano chatbot interni, copiloti documentali o assistenti collegati a policy, contratti, manuali tecnici e dati dei clienti.
Se un file manipolato entra nella base di conoscenza, l’IA può considerarlo una fonte affidabile e generare risposte errate nei processi operativi, legali o di assistenza clienti.
Il NCSC britannico avverte che gli attacchi di data poisoning si verificano quando un aggressore altera i dati usati per addestrare un modello al fine di produrre risultati indesiderati, sia sotto il profilo della sicurezza sia sotto quello dei bias.
Segnala inoltre che questi rischi aumenteranno man mano che gli LLM verranno utilizzati per trasferire dati ad applicazioni e servizi di terze parti.
Tipologie di data poisoning
Il data poisoning non persegue sempre lo stesso obiettivo. Nell’avvelenamento indiscriminato, l’aggressore cerca di ridurre le prestazioni complessive del modello.
Un sistema antifrode basato sull’IA potrebbe iniziare ad accettare operazioni sospette, uno strumento documentale potrebbe classificare in modo errato informazioni riservate oppure un sistema di supporto potrebbe consigliare azioni inappropriate.
Nell’avvelenamento mirato, l’aggressore punta a ottenere un risultato specifico. Il modello può funzionare correttamente nella maggior parte delle situazioni, ma fallire in presenza di una determinata condizione.
Esiste anche il backdoor poisoning, in cui viene introdotto un segnale nascosto che attiva un comportamento dannoso soltanto quando compare uno schema specifico.
Questa modalità è pericolosa perché può rimanere latente a lungo senza compromettere le prestazioni generali del sistema.
Da qui nasce la necessità di proteggere non solo il modello, ma anche le fonti di dati e i processi che lo alimentano.
Esperti nella Rimozione di Ransomware
Affidati ai nostri professionisti certificati: oltre 25 anni di esperienza nel campo della rimozione di ransomware, recupero dati e sicurezza informatica.
Casi e ricerche riconosciuti dagli organismi ufficiali
Sebbene il data poisoning possa sembrare una minaccia recente, gli organismi pubblici di cybersecurity ne segnalano l’impatto da anni.
Il NCSC cita il caso del chatbot Tay come esempio di degradazione causata da dati contaminati e avverte che i dataset avvelenati possono ridurre le prestazioni del modello o introdurre backdoor mirate.
Questi casi dimostrano che il problema non riguarda soltanto i laboratori di ricerca. Quando un sistema apprende da interazioni esterne, dati aperti o documentazione non verificata, rischia di incorporare informazioni dannose.
Per un’azienda, la domanda fondamentale non è soltanto quanto sia avanzato il modello, ma se i dati che lo alimentano siano verificabili, tracciabili e controllati.
Impatto del data poisoning sulle aziende
L’impatto del data poisoning dipende dall’uso che l’azienda fa dell’intelligenza artificiale. Nel settore finanziario, può alterare i modelli di rischio o di rilevamento delle frodi. Nelle risorse umane, può introdurre distorsioni nei filtri di selezione.
Negli ambiti legale e compliance, può generare interpretazioni errate delle policy interne. Nell’assistenza clienti, può produrre risposte sbagliate che danneggiano la reputazione aziendale.
Nella cybersecurity, l’impatto può essere particolarmente critico. Una soluzione basata sull’IA che analizza log, traffico di rete o comportamento degli utenti potrebbe smettere di rilevare gli indicatori di compromissione. Ciò agevolerebbe movimenti laterali, escalation dei privilegi, esfiltrazione di informazioni o la preparazione di un attacco ransomware.
Il legame con i reati informatici è diretto: manipolare i dati che alimentano i sistemi intelligenti può diventare una forma di frode, sabotaggio digitale o occultamento tecnico prima di un’intrusione più grave.
Data poisoning e ransomware: un legame sempre più rilevante
Il ransomware moderno non dipende soltanto dalla cifratura. Gli aggressori combinano ingegneria sociale, furto di credenziali, sfruttamento delle vulnerabilità, esfiltrazione di informazioni e pressione reputazionale.
Il data poisoning può agire come fase preliminare per indebolire le difese basate sull’IA. Se un aggressore riesce a contaminare i dati di uno strumento di rilevamento, può ridurne la capacità di identificare schemi dannosi.
Potrebbe anche introdurre rumore negli avvisi, modificare le priorità di rischio o compromettere le basi di conoscenza utilizzate dagli analisti di sicurezza. L’organizzazione continuerebbe a fidarsi di un sistema apparentemente funzionante, ma con capacità difensive degradate.
L’FBI raccomanda di segnalare gli attacchi ransomware all’IC3 e dichiara di non sostenere il pagamento dei riscatti, poiché pagare non garantisce il recupero dei dati e può incentivare nuovi attacchi.
Consiglia inoltre di mantenere il software aggiornato, utilizzare soluzioni antimalware, eseguire backup e predisporre piani di continuità operativa.
Come prevenire il data poisoning
Prevenire il data poisoning richiede una combinazione di data governance, sicurezza dell’IA e risposta agli incidenti. Il primo passo consiste nel creare un inventario di modelli, dataset, embedding e fonti utilizzate. Ogni set di dati deve avere un proprietario, una finalità, una versione, una data di acquisizione e controlli documentati.
È inoltre necessario limitare chi può modificare le fonti critiche, applicare convalide automatiche, verificare i dati provenienti da terze parti, rilevare anomalie statistiche e conservare copie pulite dei dataset importanti.
Questo approccio consente di individuare modifiche sospette prima che i dati contaminati raggiungano il modello e ne compromettano le decisioni.
Controlli specifici per i sistemi RAG e conformità normativa
Nei sistemi RAG, è opportuno controllare quali documenti entrano nella base di conoscenza, come vengono aggiornati e quali autorizzazioni sono assegnate a utenti, fornitori e integrazioni.
Questi ambienti sono particolarmente sensibili perché il modello non risponde soltanto in base all’addestramento precedente, ma anche utilizzando documenti aziendali che possono cambiare frequentemente.
Il Regolamento europeo sull’intelligenza artificiale impone obblighi ai fornitori e ai soggetti responsabili dell’implementazione delle tecnologie di IA e disciplina l’immissione e l’utilizzo dei sistemi di intelligenza artificiale nel mercato unico dell’UE.
Questo requisito normativo rafforza l’importanza della qualità dei dati come elemento centrale della sicurezza dell’IA.
Per le aziende, prevenire il data poisoning non è soltanto una questione tecnica, ma anche una pratica essenziale di conformità, tracciabilità e gestione responsabile dei sistemi intelligenti.
Buone pratiche per CISO e responsabili IT
Un’azienda che utilizza l’IA nella sicurezza informatica deve trattare i propri modelli come asset critici. Ciò significa documentarne il ciclo di vita, controllare le fonti di dati, valutare i fornitori, registrare le modifiche, testarne il comportamento con input anomali e definire soglie chiare per ritirare o riesaminare un modello quando emergono deviazioni.
È inoltre opportuno includere il data poisoning nell’analisi dei rischi, negli esercizi di threat modeling e nei piani di risposta.
Il NCSC raccomanda di progettare l’intero sistema secondo principi di security by design, perché gli attacchi di data poisoning e prompt injection possono essere difficili da rilevare e mitigare quando il modello è già operativo senza controlli adeguati.
Soccorso Immediato per Ransomware
Il ransomware non deve paralizzare la tua attività. I nostri specialisti sono pronti a recuperare i tuoi dati e proteggere i tuoi sistemi.
Il data poisoning dimostra che un’IA non deve essere violata direttamente per trasformarsi in un rischio. È sufficiente manipolare i dati che utilizza per apprendere, rispondere o formulare raccomandazioni.
Man mano che le aziende integrano modelli intelligenti nei processi critici, la sicurezza deve spostarsi dal perimetro tecnico all’intera filiera del dato.
In HelpRansomware aiutiamo le organizzazioni a rafforzare la propria resilienza informatica, rispondere agli incidenti critici e proteggere gli asset digitali da ransomware, fughe di dati e minacce emergenti. Se la tua azienda utilizza l’intelligenza artificiale, questo è il momento di verificare se dati, modelli e processi di ripristino sono pronti ad affrontare attacchi di nuova generazione.
FAQ
Quali aziende sono maggiormente esposte al data poisoning?
Sono maggiormente esposte le organizzazioni che utilizzano IA collegate a grandi volumi di dati interni, fonti esterne, documentazione dinamica, fornitori tecnologici o sistemi di apprendimento continuo.
Il data poisoning può colpire gli strumenti di cybersecurity?
Sì. Se uno strumento di sicurezza basato sull’IA apprende da dati manipolati, può generare falsi negativi, ignorare schemi dannosi o ridurre la capacità di rilevare minacce reali.
Come si rileva il data poisoning?
Può essere rilevato attraverso audit dei dati, analisi delle anomalie, confronto con dataset puliti, monitoraggio del comportamento del modello, controllo delle versioni e test avversariali periodici.
Il data poisoning può colpire un’azienda anche se non addestra modelli propri?
Sì. Il data poisoning può colpire anche le aziende che utilizzano modelli di terze parti collegati a documenti interni, basi di conoscenza, ticket, e-mail o sistemi RAG. In questo caso, il rischio non consiste nel modificare il modello di base, ma nel contaminare le informazioni consultate dall’IA per rispondere o prendere decisioni.
Come si può prevenire il data poisoning?
La prevenzione richiede tracciabilità, controllo degli accessi, validazione delle fonti, verifica dei fornitori, segmentazione dei dataset, copie pulite, monitoraggio continuo e un piano di risposta agli incidenti che includa i rischi legati all’IA.
Soccorso Immediato per Ransomware
Il ransomware non deve paralizzare la tua attività. I nostri specialisti sono pronti a recuperare i tuoi dati e proteggere i tuoi sistemi.
Per anni, molte aziende hanno interpretato il ransomware come un attacco incentrato sulla crittografia dei file. Lo scenario sembrava chiaro: i sistemi venivano bloccati, i dati diventavano inaccessibili e gli aggressori chiedevano un riscatto in cambio di una presunta chiave di ripristino.
Ma questa visione non è più sufficiente.
I ransomware moderni si sono evoluti in un modello molto più aggressivo. Non si limitano più a crittografare i file, ma combinano il furto di dati,le minacce di violazione dei dati,il danno alla reputazione e l’estorsione diretta alla vittima. L’obiettivo non è solo paralizzare le attività, ma anche sottoporre l’azienda a una doppia pressione : ripristinare i sistemi e impedire che le informazioni rubate vengano divulgate.
Pertanto, parlare di ransomware oggi non significa solo parlare di malware. Significa parlare di crisi aziendali,protezione dei dati,reputazione,obblighi legali e capacità di risposta.
Dalla crittografia alla doppia estorsione
La principale novità nel ransomware moderno è che la crittografia non è più sempre il fulcro dell’attacco. In molti casi, i criminali ottengono prima l’accesso alla rete, individuano informazioni sensibili, estraggono i dati e poi crittografano i sistemi per aumentare la pressione.
La crittografia non spiega più l’intero incidente.
Nei modelli tradizionali, il ripristino dipendeva in gran parte dalla capacità dell’azienda di recuperare i propri file. Se esistevano backup o soluzioni di ripristino, l’organizzazione aveva maggiori possibilità di superare la crisi.
Ora il problema è diverso. Anche se un’azienda riesce a riottenere l’accesso ai propri sistemi, gli aggressori possono comunque minacciare di pubblicare dati rubati,contratti,informazioni finanziarie,email interne o dati personali. Pertanto, gli strumenti di decrittazione per ransomware possono essere d’aiuto in alcuni casi, ma da soli non risolvono un attacco che comporta anche l’esfiltrazione di dati,la divulgazione pubblica e un potenziale danno alla reputazione.
La doppia pressione modifica la risposta
La doppia estorsione ci costringe a prendere decisioni più complesse. Non basta più sapere se i file possono essere recuperati. Dobbiamo anche sapere quali dati sono stati divulgati, quali potrebbero essere le ripercussioni legali, quali informazioni devono essere condivise e come tutelare la fiducia di clienti, partner e fornitori.
Molte aziende colpite da ransomware scoprono che la crisi non finisce quando i loro sistemi tornano operativi. Se ci sono dati rubati,potenziali fughe di notizie o esposizione pubblica, la pressione continua.
Il furto di dati come arma di pressione
Nel ransomware moderno, i dati non sono solo un obiettivo tecnico. Sono uno strumento di ricatto. Un database clienti, documenti interni,credenziali, contratti o informazioni finanziarie possono essere utilizzati per fare pressione sull’azienda anche dopo che questa ha ripristinato i propri sistemi.
La fuga di dati può essere più dannosa della crittografia.
Un sistema può essere ripristinato. La fiducia, tuttavia, richiede molto più tempo per essere recuperata. Quando gli aggressori minacciano di divulgare informazioni sensibili, l’azienda si trova ad affrontare contemporaneamente un problema tecnico,legale e di reputazione.
Il danno non dipende solo dal numero di file crittografati, ma anche dalle informazioni compromesse e da come ciò potrebbe influire su clienti,fornitori,dipendenti o partner. A questo punto, il ransomware si trasforma in una crisi di fiducia.
L’estorsione digitale cerca di instillare paura
L’INCIBE ha lanciato un allarme sulle truffe di estorsione sessuale via e-mail, in cui gli aggressori utilizzano minacce, urgenza e pressione psicologica per estorcere denaro. Sebbene non tutti questi casi riguardino ransomware aziendali, condividono una logica comune: l’estorsione funziona quando genera panico,vergogna,urgenza o un senso di isolamento.
Pertanto, il legame tra estorsione sessuale e ransomware è rilevante. Entrambi i fenomeni esercitano pressione sulla vittima per costringerla a prendere decisioni rapide, impulsive e avventate.
Intelligenza artificiale e minacce più credibili
l’intelligenza artificiale sta cambiando il panorama. Ciò non significa che tutti gli attacchi siano sofisticati, ma implica che alcune campagne possano diventare più convincenti, più personalizzate e più difficili da rilevare.
Il CCN-CERT ha pubblicato un rapporto sulle migliori pratiche relative all’intelligenza artificiale offensiva, che illustra come queste capacità possano essere utilizzate in contesti malevoli. Nel ransomware moderno, ciò può tradursi in messaggi più credibili, minacce meglio formulate o tentativi di estorsione più personalizzati.
Una minaccia generica può essere ignorata più facilmente. Una minaccia che include nomi reali,documenti interni,referenze di clienti o dettagli organizzativi crea una pressione molto maggiore. È in questo modo che l’attaccante cerca di controllare i tempi della crisi.
La risposta tecnica non è più sufficiente
Quando il ransomware viene considerato esclusivamente un problema informatico, le organizzazioni spesso ritardano l’adozione di decisioni cruciali. Il ripristino del sistema è essenziale, ma da solo non risolve i problemi legati all’esposizione dei dati,alla divulgazione pubblica,agli obblighi legali o al danno reputazionale.
L’incidente si trasforma in una crisi aziendale
Un attacco informatico moderno può colpire simultaneamente l’IT,la gestione, l’ufficio legale,le comunicazioni,le risorse umane,il servizio clienti e le operazioni. Ogni area necessita di informazioni, ma queste non sono sempre immediatamente disponibili.
Ecco perché la gestione delle crisi diventa cruciale. L’azienda deve coordinare le decisioni, controllare la comunicazione, preservare le prove ed evitare risposte contraddittorie. Senza questo coordinamento, un incidente tecnico può degenerare in una crisi ben più grave.
Anche la comunicazione fa parte della difesa
In un attacco che prevede il potenziale furto di dati, una comunicazione inadeguata può aggravare i danni. Tuttavia, rimanere in silenzio senza una strategia può anche creare maggiore incertezza. La risposta deve essere basata sui fatti, aggiornata man mano che emergono informazioni attendibili ed evitare promesse che l’indagine non è ancora in grado di comprovare.
Nel contesto dei ransomware moderni, la comunicazione non è un dettaglio di poco conto. È una parte cruciale della mitigazione dell’impatto.
Il quadro giuridico aggiunge un ulteriore livello di pressione
Quando i dati vengono rubati, possono scattare obblighi legali e normativi. L’azienda deve analizzare se i dati personali sono stati compromessi, se è necessario informare le autorità o le persone interessate e quali misure adottare per mitigare il danno.
Ecco perché le leggi sul ransomware nel 2025 assumono un’importanza sempre maggiore. Un attacco moderno non si risolve semplicemente ripristinando i sistemi. Richiede anche una risposta conforme al quadro giuridico, preservando le prove e tutelando i rapporti con clienti,partner e autorità di regolamentazione.
La pressione dell’opinione pubblica può accelerare gli errori. Agire rapidamente è necessario, ma agire senza controllo può peggiorare la situazione. Negli attacchi ransomware, la velocità è utile solo se accompagnata da buon senso,coordinamento e una strategia chiara.
Cosa deve sapere un’azienda sui ransomware moderni
I ransomware moderni richiedono una prospettiva più ampia. Non basta più chiedersi semplicemente se i file sono crittografati. Dobbiamo sapere se c’è stato un accesso non autorizzato, se sono stati sottratti dati, quali informazioni potrebbero essere state compromesse e come verrà gestita la pressione esterna.
Un’azienda preparata non si limita ad avere dei backup. Sa anche chi prende le decisioni, come vengono condotte le indagini, quali prove devono essere conservate, come comunicare e cosa fare se gli hacker pubblicano un campione delle informazioni rubate.
L’obiettivo è ridurre il potere dell’attaccante. Quanto meglio l’organizzazione è preparata, tanto meno margine di manovra avrà il criminale per imporre scadenze, manipolare le comunicazioni o trasformare l’incertezza in uno strumento di estorsione.
I ransomware moderni non si limitano più alla crittografia. Rubano, minacciano ed estorcono denaro.
di HelpRansomware lavoriamo per aiutarvi a reagire con controllo, ridurre l’impatto operativo e reputazionale e prendere decisioni cruciali quando l’estorsione digitale mette a dura prova l’intera vostra organizzazione.
Soccorso Immediato per Ransomware
Il ransomware non deve paralizzare la tua attività. I nostri specialisti sono pronti a recuperare i tuoi dati e proteggere i tuoi sistemi.
Il ransomware si è evoluto. Oggi è in grado di combinare crittografia,furto di dati, danni alla reputazione, minacce dirette e obblighi legali.Pertanto, una risposta basata esclusivamente sul ripristino dei sistemi non è più sufficiente.
Le aziende devono comprendere che l’attacco non si conclude con il recupero dell’accesso ai propri file. Se si è verificata un’esfiltrazione, se i dati sono stati pubblicati o se la fiducia di clienti e partner è stata compromessa, la crisi continua.
La questione non è più solo se un’azienda sia in grado di decrittografare i propri dati.
La domanda è se sia in grado di resistere a tutta la pressione dei moderni ransomware.
Domande frequenti sui ransomware moderni
Cosa distingue i ransomware moderni da quelli tradizionali?
I ransomware tradizionali si concentravano principalmente sulla crittografia dei file. I ransomware moderni possono combinare crittografia,furto di dati,minacce di violazione dei dati e pressione sulla reputazione.
Che cos’è la doppia estorsione?
Si tratta di una tecnica in cui gli aggressori criptano i sistemi e minacciano di pubblicare o vendere i dati rubati se la vittima non paga.
Gli strumenti di decrittazione sono in grado di contrastare gli attacchi moderni?
Possono essere d’aiuto in alcuni casi, ma non risolvono il problema se vi è anche furto di dati,divulgazione di informazioni sensibili o minaccia di fughe di notizie.
Perché la reputazione è così importante?
Perché gli aggressori usano la minaccia di divulgazione pubblica per aumentare la pressione. Il danno alla reputazione può continuare anche dopo il ripristino dei sistemi.
Cosa dovrebbe fare un’azienda di fronte alla minaccia di una violazione dei dati?
È necessario preservare le prove, analizzare la portata dell’incidente, coordinare la risposta tecnica,legale e di comunicazione ed evitare decisioni impulsive prese sotto pressione.
Molte aziende credono che avere dei backup significhi essere protette dai ransomware . Questa frase ricorre spesso nelle riunioni IT, negli audit interni o nelle conversazioni con il management con una sicurezza quasi automatica: “Abbiamo i backup”, “I backup vengono eseguiti ogni giorno”, “Se succede qualcosa, ripristiniamo i dati”. Sulla carta, sembra una risposta sufficiente. In un attacco reale, tuttavia, questa sicurezza può svanire nel giro di poche ore.
Il problema non è fare i backup, ma sapere se questi resisterebbero a un attacco ransomware specificamente progettato per distruggere le capacità di ripristino . Un backup connesso alla stessa rete, accessibile con le stesse credenziali , senza prove di ripristino o un vero isolamento , può offrire un falso senso di sicurezza . L’azienda crede di avere una via d’uscita di emergenza, ma scopre troppo tardi che anche quella è stata compromessa.
Parlare di backup e ransomware non significa solo parlare di archiviazione. Significa parlare di continuità operativa , resilienza , protezione dei dati, gestione degli accessi e della reale capacità di riprendere l’attività quando i sistemi critici si bloccano. La domanda importante non è se l’azienda disponga di backup, ma se questi backup saranno ancora utili nel momento del bisogno.
L’errore più grande: confondere il backup con il ripristino effettivo.
La maggior parte delle organizzazioni scopre che i propri backup sono vulnerabili solo durante un test controllato, ovvero nel bel mezzo di un attacco ransomware . È in quel momento che sorgono i problemi: backup incompleti , ripristini lenti , dipendenze non funzionanti, credenziali compromesse o sistemi di backup crittografati. A quel punto, la differenza tra avere dei backup ed essere effettivamente in grado di ripristinare i dati diventa lampante.
Avere dei backup non significa poterli ripristinare.
Un backup è utile solo se può essere ripristinato in modo sicuro , completo ed entro tempi compatibili con le esigenze aziendali. Molte aziende eseguono backup regolarmente, ma non verificano se questi siano integri, se coprano i sistemi critici o se possano essere ripristinati senza reintrodurre il problema. In caso di attacco ransomware, il ripristino non consiste semplicemente nel tornare a un punto precedente. Innanzitutto, è necessario comprendere cosa è successo, quali sistemi sono stati compromessi, quali utenti sono stati interessati e se l’attaccante ha avuto accesso anche all’infrastruttura di backup.
Pertanto, tentare di recuperare file crittografati senza analizzare la reale portata dell’attacco può rappresentare un rischio aggiuntivo. Un ripristino affrettato potrebbe recuperare i file, ma potrebbe anche ripristinare malware persistenti , configurazioni non sicure o accessi che l’attaccante controlla ancora. Potrebbe esistere un backup, ma non essere comunque pronto per un ripristino affidabile.
Il backup non è una soluzione isolata
Uno degli errori più comuni è considerare i backup come uno strumento separato dal resto della strategia di sicurezza. I backup fanno parte della difesa, ma non sostituiscono la segmentazione , il monitoraggio, il controllo degli accessi o la gestione degli incidenti. Un’azienda può avere backup aggiornati e subire comunque gravi interruzioni se non sa cosa ripristinare per primo, chi autorizza il processo o quali sistemi devono essere mantenuti isolati durante il ripristino.
I ransomware moderni ci obbligano a considerare i backup come parte di una strategia più ampia. Non si tratta solo di salvare i dati, ma di proteggere la capacità operativa. Pertanto, una strategia seria per prevenire i ransomware nelle aziende è essenziale. Bisogna inoltre considerare cosa succede quando la prevenzione fallisce e il recupero diventa l’ultima risorsa.
Perché gli hacker cercano prima i backup?
I gruppi ransomware sanno che un’azienda con backup funzionanti ha maggiori probabilità di sopravvivenza. Per questo motivo, una delle loro priorità è solitamente individuare , disabilitare o crittografare i sistemi di backup prima di lanciare un attacco visibile. Se riescono a disabilitare i backup , la vittima perde tempo , potere contrattuale e la possibilità di recuperare i dati .
L’aggressore vuole eliminare l’uscita di emergenza
In molti casi, la crittografia dei sistemi non è l’obiettivo primario. Prima di arrivare a questo punto, gli aggressori tentano di navigare nella rete , identificare i server critici , verificare le autorizzazioni e individuare i backup . Se riescono a compromettere anche questi backup, l’attacco assume una dimensione completamente diversa: l’azienda non si trova più ad affrontare solo file crittografati , ma un ripristino limitato e molto più incerto.
Questo rende i backup un obiettivo strategico . Una copia accessibile dalla stessa rete, protetta con credenziali deboli o gestita senza un’adeguata separazione, può essere neutralizzata prima ancora che l’organizzazione si accorga di essere sotto attacco. In tal caso, il backup cessa di essere una garanzia e diventa una promessa che nessuno ha testato in condizioni reali .
Il paradosso dell’accesso: chi può cancellare la copia?
Molte aziende si concentrano sulla verifica dell’esistenza di un backup, ma non sull’analisi di chi ha la possibilità di modificarlo, eliminarlo o crittografarlo. Questo dettaglio è fondamentale. Se le stesse credenziali utilizzate per amministrare i sistemi interni consentono anche l’accesso ai backup, il rischio si moltiplica. Un backup può essere tecnicamente corretto, ma a livello operativo potrebbe non essere sicuro.
La gestione delle identità, l’autenticazione forte e una rigorosa separazione dei privilegi sono essenziali. Negli attacchi ransomware, la questione non è solo dove si trova il backup, ma chi potrebbe distruggerlo. Una politica di backup che non includa il controllo degli accessi lascia una vulnerabilità che gli aggressori conoscono fin troppo bene.
Il rischio di archiviare dati senza comprenderne il valore
I backup spesso contengono alcune delle risorse più sensibili di un’azienda: database, documentazione interna, informazioni finanziarie, contratti, dati dei clienti e credenziali tecniche. Pertanto, quando un backup viene compromesso, l’impatto non è solo operativo. Può anche influire sulla privacy , sulla conformità normativa, sulla reputazione e sui rapporti con clienti o fornitori.
Anche i dati di backup devono essere protetti
Un errore comune è quello di considerare i backup come semplici archivi tecnici . Tuttavia, un backup può contenere informazioni critiche quanto , o addirittura più sensibili , dei sistemi di produzione . Se tali informazioni non sono adeguatamente protette, il backup può diventare una fonte di vulnerabilità .
Il Consiglio dell’Unione europea ribadisce che la protezione dei dati è un diritto fondamentale nell’UE e che il GDPR stabilisce un quadro comune per le aziende che operano nel territorio europeo. Ciò è particolarmente rilevante in una strategia di backup , poiché i backup possono contenere anche dati personali , informazioni sensibili e documenti soggetti a obblighi di legge .
Pertanto, la protezione dei dati aziendali non si esaurisce con i sistemi di produzione. Deve essere applicata anche ai backup, agli ambienti di ripristino e a qualsiasi piattaforma in cui siano archiviate informazioni critiche.
Anche la copia potrebbe essere parte del problema
Un backup gestito in modo inadeguato può conservare informazioni obsolete, vecchie credenziali, configurazioni non sicure o dati che non dovrebbero più essere archiviati. Ciò complica il ripristino e può aumentare il rischio se il backup finisce nelle mani di malintenzionati. In alcuni casi, il ripristino senza convalida può riportare in produzione sistemi vulnerabili, compromessi o esposti a malware.
Inoltre, quando un’organizzazione non sa esattamente cosa contengono i suoi backup, il ripristino diventa più lento. Non è sufficiente ripristinare semplicemente “tutto”. È essenziale sapere quali dati sono critici, quali sistemi dipendono da essi e quali informazioni devono essere prioritarie. Non tutti i dati hanno lo stesso valore: alcuni sono essenziali per il funzionamento, altri sono legalmente sensibili e altri ancora possono essere critici a causa del loro impatto sulla reputazione.
Phishing, credenziali e backup: una catena più interconnessa di quanto sembri.
Molte intrusioni non iniziano con un attacco sofisticato all’infrastruttura . Iniziano con un’e-mail , una fattura falsa , una password riutilizzata o un account compromesso . Questo accesso iniziale può sembrare limitato, ma se l’attaccante riesce a ottenere privilegi elevati , la strada verso sistemi critici e piattaforme di backup può aprirsi rapidamente.
Una fattura falsa può finire per compromettere i backup.
Le campagne di phishing rimangono un punto di ingresso efficace perché sfruttano le comuni routine aziendali . Un’e-mail che sembra una fattura , una notifica amministrativa o un messaggio urgente può indurre un dipendente a fornire le proprie credenziali o a scaricare un file dannoso . L’ Agenzia Nazionale per la Sicurezza Informatica ( ANCI ) ha emesso un allarme in merito a una campagna di phishing che coinvolge fatture elettroniche, un esempio di come gli aggressori utilizzino i processi di routine per conquistare la fiducia dei dipendenti.
Questo tipo di attacco non influisce direttamente sul backup nel primo minuto, ma può essere l’inizio di una catena di eventi molto più pericolosa . In primo luogo, viene compromesso un account , poi vengono estese le autorizzazioni , successivamente vengono identificati i sistemi critici e, infine, vengono messe alla prova le capacità di ripristino dell’azienda . Nel caso del ransomware, l’ attacco visibile è solitamente solo la fine di una sequenza più lunga .
Un backup non compensa una scarsa sicurezza di accesso.
Nessun backup può compensare una gestione inadeguata delle credenziali . Se gli aggressori riescono ad accedere agli account amministrativi o a muoversi lateralmente all’interno della rete , anche i backup possono essere esposti, proprio come il resto dei sistemi. I backup non sono un’entità isolata: dipendono dall’architettura di sicurezza circostante .
Pertanto, una strategia di backup per la protezione dai ransomware deve essere integrata con le politiche di identità, monitoraggio e rilevamento . L’ azienda non dovrebbe solo chiedersi se dispone di backup, ma anche se questi siano protetti dalle stesse vulnerabilità che hanno consentito l’ accesso iniziale .
Errori critici che rendono inutile un backup
I guasti più pericolosi non sono sempre evidenti. Infatti, molte organizzazioni credono che la loro strategia funzioni perché non l’hanno mai realmente testata. Il problema sorge quando un incidente richiede un ripristino complesso e si scopre che il backup non copre le aree necessarie, richiede troppo tempo o non può essere utilizzato in modo sicuro .
Copie connesse alla stessa rete
Uno degli errori più gravi è quello di mantenere i backup accessibili dalla stessa rete compromessa. Se un aggressore può accedere all’ambiente di backup dai sistemi infetti, il backup cessa di essere una protezione affidabile. La logica è semplice: se tutto si blocca contemporaneamente, non c’è un vero modo per ripristinare il sistema.
L’isolamento è fondamentale. I backup devono essere separati, protetti e progettati per resistere anche in caso di compromissione della rete primaria. Questo aspetto è particolarmente importante negli attacchi ransomware, dove una singola credenciale compromessa può permettere agli aggressori di raggiungere sistemi critici, backup e piattaforme di ripristino.
Ciò significa non solo spostare i dati in un’altra posizione, ma anche controllare l’accesso, limitare le autorizzazioni e impedire che una singola credenziale compromessa distrugga l’intera strategia di ripristino.
Esperti nella Rimozione di Ransomware
Affidati ai nostri professionisti certificati: oltre 25 anni di esperienza nel campo della rimozione di ransomware, recupero dati e sicurezza informatica.
Un backup non testato è un’ipotesi . Molte aziende effettuano backup, ma non eseguono test di ripristino completi . Non sanno quanto tempo ci vorrebbe per ripristinare i sistemi critici , se i dati ripristinati sarebbero completi o se le dipendenze funzionerebbero correttamente.
In un incidente reale , quell’incertezza si traduce in tempo. E con il ransomware , il tempo ha un impatto diretto su operazioni , costi e reputazione . Un ripristino comprovato non si limita a convalidare il backup, ma convalida anche l’ effettiva capacità dell’azienda di riprendere le attività.
Mancanza di priorità
Non tutti i sistemi devono essere ripristinati contemporaneamente. Un ripristino efficace richiede di sapere cosa è essenziale per riprendere le operazioni e cosa può attendere. Senza questa definizione delle priorità , l’azienda potrebbe sprecare risorse nel ripristino dei sistemi secondari mentre i processi critici rimangono fermi.
Questo punto si collega direttamente alle prime 24 ore di un attacco ransomware, periodo in cui le decisioni iniziali determinano l’intero incidente. Se l’organizzazione non sa cosa recuperare per primo, la pressione aumenta, il margine di errore si riduce e i costi operativi iniziano a crescere fin da subito.
Cosa dovrebbe includere una strategia di backup a prova di ransomware?
Una strategia solida va oltre la semplice creazione di backup. Deve essere progettata tenendo conto dello scenario peggiore: quando i sistemi principali sono fuori servizio, la pressione interna è elevata e sono necessarie decisioni rapide. In tale situazione, la differenza non sta nell’avere più dati archiviati, ma nell’avere un processo di ripristino affidabile e organizzato, allineato con le esigenze aziendali.
Copie isolate, verificate e protette
I backup devono essere isolati dall’ambiente principale , protetti con rigorosi controlli di accesso e verificati regolarmente . È inoltre consigliabile conservare le versioni precedenti per evitare di affidarsi a un singolo backup che potrebbe essere corrotto o creato dopo la violazione dei dati .
La chiave non sta solo nell’avere dei backup , ma nell’avere backup affidabili . Ciò significa verificare che siano ripristinabili , che contengano tutto il necessario e che non dipendano da sistemi compromessi . Un backup valido dovrebbe resistere all’attacco , non andare perso insieme ad esso.
Ripresa allineata con le esigenze aziendali
Una buona strategia deve rispondere a domande specifiche: quali sistemi ripristinare per primi, per quanto tempo ogni area può rimanere fuori servizio, quali dati sono essenziali e chi autorizza il ritorno alla produzione. Queste decisioni non dovrebbero essere prese nel bel mezzo di una crisi, ma definite in anticipo.
In questo contesto, i backup sono strettamente legati alla continuità operativa e ransomware. Il ripristino non è solo un processo tecnico; è una decisione operativa, economica e strategica. Per questo motivo, comprendere il costi del ransomware per le aziende aiuta a stabilire le priorità di ripristino dei sistemi e a valutare l’impatto di ogni ora di inattività.
Prevenzione e recupero come strategia integrata
I backup non sostituiscono la prevenzione , bensì la integrano. Un’azienda preparata si concentra sia sulla capacità di prevenire un attacco sia sulla capacità di ripristinare i sistemi qualora si verifichi . Separare i due aspetti è un errore, perché gli attacchi ransomware si verificano proprio laddove prevenzione e ripristino sono scollegati.
Pertanto, la revisione dei backup dovrebbe essere parte integrante di una strategia completa di difesa contro i ransomware . La semplice memorizzazione dei dati non è sufficiente ; è necessario chiedersi se tali dati consentirebbero di ricostruire l’operazione in modo sicuro .
Avere dei backup non significa essere preparati contro i ransomware .
Noi di HelpRansomware lavoriamo per aiutarvi a valutare la reale resilienza dei vostri backup , identificare i punti deboli e preparare un ripristino sicuro prima che si verifichi l’attacco.
Conclusione
I backup sono essenziali, ma non sono una garanzia . Molte aziende si affidano alle proprie copie senza sapere se resisterebbero a un attacco reale , se potrebbero essere ripristinate in tempo o se sono state protette dall’attaccante.
Il ransomware ha cambiato il nostro modo di intendere il recupero dei dati . La semplice memorizzazione dei dati non è più sufficiente . I dati devono essere protetti , isolati , testati e allineati con le reali priorità aziendali .
La questione non è più se si dispone di backup . La questione è se i backup saranno ancora utili quando tutto il resto avrà smesso di funzionare.
Soccorso Immediato per Ransomware
Il ransomware non deve paralizzare la tua attività. I nostri specialisti sono pronti a recuperare i tuoi dati e proteggere i tuoi sistemi.
Avere dei backup ti impedisce di pagare un riscatto?
Non sempre. Un backup funzionante può ridurre la pressione, ma se i dati sono stati rubati o i backup sono compromessi, la crisi può continuare.
Perché gli hacker prendono di mira i backup?
Perché eliminare la resilienza aumenta la pressione sulla vittima e riduce le sue opzioni durante la crisi.
Con quale frequenza è necessario testare le copie?
Devono essere testati periodicamente e con scenari realistici, non solo tramite controlli automatizzati.
È sufficiente un backup su cloud?
Dipende da come è configurato. Se è scarsamente protetto o connesso allo stesso sistema di credenziali, potrebbe essere a rischio.
Cosa è più importante: la prevenzione o la guarigione?
Entrambe. La prevenzione riduce la probabilità di un attacco, ma il recupero definisce l’impatto qualora l’attacco si verifichi.
Prenotare una vacanza online è diventato uno dei gesti più semplici e naturali della vita quotidiana. Bastano pochi minuti per scegliere una struttura, confrontare prezzi, effettuare un pagamento e ricevere una conferma direttamente sul proprio smartphone.
Questa semplicità ha rivoluzionato il settore turistico, ma ha anche creato nuove opportunità per la criminalità informatica.
Negli ultimi mesi sono emerse diverse segnalazioni relative a truffe che sfruttano le piattaforme di prenotazione online per colpire gli utenti. Tra queste, particolare attenzione ha ricevuto il fenomeno noto come Reservation Hijacking, una tecnica che sfrutta la fiducia associata alle prenotazioni digitali per convincere le vittime a effettuare pagamenti o condividere informazioni personali. Secondo l’analisi pubblicata da Geopop, gli attaccanti riescono a inserirsi nel processo di prenotazione e a presentarsi come interlocutori legittimi, rendendo il raggiro estremamente credibile.
Ma il vero interesse di questi casi non riguarda una singola piattaforma o una specifica campagna fraudolenta.
La vera domanda è un’altra: perché queste truffe stanno diventando sempre più efficaci?
La risposta ci racconta molto sull’evoluzione della criminalità informatica e sul modo in cui gli attaccanti stanno cambiando approccio.
La fiducia è diventata il nuovo bersaglio
Per molto tempo le truffe online erano relativamente facili da riconoscere. Messaggi scritti male, richieste poco credibili e comunicazioni piene di errori costituivano segnali evidenti di un tentativo di frode.
Oggi il panorama è completamente diverso.
I criminali informatici hanno capito che il modo più efficace per ottenere informazioni o denaro non è necessariamente aggirare sistemi di sicurezza complessi. Molto spesso è più semplice convincere una persona a collaborare spontaneamente.
Quando un utente riceve una comunicazione apparentemente collegata a una prenotazione reale, il livello di fiducia aumenta automaticamente. Sta aspettando informazioni sul viaggio, sul pagamento o sulla struttura ricettiva. Tutto sembra coerente con ciò che sta vivendo.
Ed è proprio questa coerenza a rendere il raggiro così pericoloso.
Perché queste campagne funzionano
Le campagne più recenti non si basano sulla casualità. Sono costruite attorno al comportamento delle persone.
Secondo alcune segnalazioni riportate da QuiFinanza, gli utenti hanno ricevuto messaggi apparentemente collegati a prenotazioni effettuate tramite Booking, nei quali venivano richieste verifiche urgenti o nuovi pagamenti per confermare la riserva.
Il messaggio non appare sospetto perché arriva nel momento giusto. Questo è il punto fondamentale.
Più una comunicazione sembra plausibile, meno il destinatario sente il bisogno di verificarla.
È esattamente il principio che continua a rendere ilPhishing una delle minacce più diffuse e redditizie per la criminalità informatica.
Gli attaccanti non cercano più soltanto di attirare l’attenzione. Cercano di costruire fiducia.
Il phishing non è più quello di una volta
Quando si parla di phishing, molte persone immaginano ancora email generiche che promettono premi improbabili o segnalano problemi inesistenti.
La realtà attuale è molto diversa.
Le campagne moderne sono costruite con una cura che fino a pochi anni fa sarebbe stata impensabile. Linguaggio corretto, grafica professionale e riferimenti credibili rendono sempre più difficile distinguere una comunicazione autentica da una fraudolenta.
Questo significa che il rischio non dipende più esclusivamente dalla capacità di individuare errori evidenti.
Oggi molte truffe sembrano semplicemente normali.
Ed è proprio questa apparente normalità a rappresentare il problema.
Quando la personalizzazione aumenta il rischio
Uno degli elementi che caratterizza le campagne più efficaci è la capacità di utilizzare informazioni reali.
Date di viaggio, destinazioni, indirizzi email e numeri di telefono possono trasformare una comunicazione generica in un messaggio altamente credibile.
Più informazioni possiede un attaccante, maggiore sarà la sua capacità di costruire un inganno convincente.
Per questo motivo i dati personali rappresentano una risorsa sempre più preziosa.
La qualità di una truffa dipende spesso dalla quantità di informazioni disponibili sulla vittima.
Il valore nascosto dei dati personali
Molti utenti pensano che il principale obiettivo di una frode sia ottenere un pagamento.
In realtà, il denaro è spesso solo una delle possibili conseguenze.
Le informazioni personali hanno acquisito un valore enorme all’interno dell’economia del cybercrime.
Indirizzi email, numeri di telefono, abitudini di acquisto e dati relativi ai viaggi possono essere utilizzati per costruire nuove campagne fraudolente, effettuare tentativi di furto d’identità o facilitare ulteriori attività criminali.
I dati come materia prima del cybercrime
Nel panorama attuale, le informazioni personali vengono spesso considerate una vera e propria materia prima.
Non sempre vengono utilizzate immediatamente. Molte volte vengono conservate, combinate con altri dati o condivise all’interno di reti criminali per essere sfruttate successivamente.
È un meccanismo che si ritrova in numerosicrimini informatici e che continua ad alimentare molte delle minacce digitali più diffuse.
Anche per questo motivo laprotezione dei dati aziendali e personali rappresenta oggi una priorità strategica, non solo per le organizzazioni ma anche per i singoli utenti.
Una singola informazione può sembrare insignificante. Decine di informazioni combinate possono diventare uno strumento estremamente potente.
Il ruolo del contesto nelle campagne di social engineering
Esiste poi un fattore che rende queste campagne particolarmente efficaci: il momento in cui vengono lanciate.
Organizzare una vacanza è generalmente associato a emozioni positive. Le persone sono concentrate sul viaggio, sugli spostamenti e sulla pianificazione dell’esperienza.
La sicurezza digitale raramente rappresenta la priorità.
In questa fase, una richiesta di verifica o un aggiornamento relativo alla prenotazione tendono a essere considerati normali.
Gli attaccanti sfruttano esattamente questa predisposizione psicologica.
Non cercano necessariamente di creare panico. Cercano di inserirsi in un processo già in corso.
Il ruolo sempre più centrale degli smartphone
Un altro elemento da considerare riguarda il dispositivo utilizzato.
Sempre più prenotazioni vengono effettuate e gestite tramite smartphone. Conferme, notifiche, pagamenti e comunicazioni transitano attraverso lo stesso schermo.
La velocità con cui utilizziamo questi dispositivi riduce spesso il tempo dedicato alle verifiche.
Per questo motivo lasicurezza dei dati mobili sta diventando un aspetto sempre più importante della protezione digitale.
Maggiore è la comodità, maggiore deve essere l’attenzione.
L’intelligenza artificiale sta accelerando il fenomeno
Le nuove tecnologie stanno contribuendo ad aumentare ulteriormente la qualità delle campagne fraudolente.
Tra queste, l’intelligenza artificiale occupa un ruolo sempre più rilevante.
Gli strumenti basati sull’IA consentono di generare comunicazioni naturali, personalizzate e prive degli errori che in passato permettevano di riconoscere più facilmente una truffa.
I messaggi diventano più convincenti, più coerenti e più difficili da distinguere dalle comunicazioni autentiche.
Questo non significa che ogni truffa utilizzi necessariamente l’intelligenza artificiale. Significa però che gli strumenti a disposizione dei criminali stanno migliorando rapidamente.
La qualità dell’inganno cresce insieme alla qualità della tecnologia.
Le stesse dinamiche che alimentano minacce più complesse
Le tecniche osservate nelle frodi legate alle prenotazioni online non sono isolate dal resto del panorama cyber.
Molti dei principi utilizzati in queste campagne si ritrovano anche in altre forme di criminalità digitale.
La manipolazione prima dell’attacco
Le moderne tattiche degli hacker ransomware dimostrano che gli attaccanti cercano sempre più spesso di ottenere informazioni, fiducia e opportunità di accesso prima di lanciare un attacco vero e proprio.
In molti casi, il problema non inizia quando il sistema viene compromesso.
Inizia molto prima.
Inizia quando una persona si fida della comunicazione sbagliata.
La manipolazione è diventata una delle armi più efficaci della criminalità informatica moderna.
La lezione per aziende e utenti
Le campagne che sfruttano le prenotazioni online raccontano qualcosa che va ben oltre il settore turistico.
Mostrano come la criminalità informatica stia evolvendo verso modelli sempre più basati sulla fiducia, sulla credibilità e sulla comprensione del comportamento umano.
Per molti anni la cybersecurity è stata considerata principalmente una questione tecnologica.
Oggi non è più sufficiente.
La capacità di verificare una richiesta, analizzare una comunicazione e mantenere un approccio critico rappresenta una componente fondamentale della sicurezza digitale.
Perché gli attacchi più efficaci non sono necessariamente quelli che riescono a superare una barriera tecnica.
Sono quelli che riescono a convincere qualcuno ad abbassarla volontariamente.
