L’Unit 42 2026 Global Incident Response Report ha analizzato oltre 750 incidenti cyber maggiori in più di 50 paesi. Il risultato che conta di più per la prontezza al ransomware è che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché gli attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Nei casi più rapidi, dall’accesso iniziale all’esfiltrazione sono passati 72 minuti.
72 minuti. È il tempo che gli attaccanti più rapidi nei casi di Unit 42 hanno impiegato dall’accesso iniziale al furto dei dati, quattro volte più veloci dell’anno prima. La parte interessante è quello che sempre più spesso non si sono presi la briga di fare dopo: cifrare qualcosa.
Palo Alto Networks Unit 42 ha analizzato oltre 750 incidenti cyber maggiori in ogni settore principale e in più di 50 paesi per il suo 2026 Global Incident Response Report, pubblicato a febbraio 2026 e ripreso dal team il 16 luglio 2026. Il report registra che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, che le debolezze legate all’identità hanno avuto un ruolo materiale in quasi il 90% delle investigazioni e che misconfigurazioni o lacune di copertura hanno materialmente abilitato l’attacco in oltre il 90% dei casi.
I tuoi backup non coprono la parte che sta crescendo
Unit 42 riporta che l’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché sempre più attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Dal lato dell’attaccante il report descrive questa scelta come più rapida e più silenziosa, e rimuove i segnali su cui i difensori facevano affidamento per rilevare il ransomware. Un piano di restore risponde alla metà dell’estorsione fatta di cifratura. Non risponde alla metà che sta crescendo.
Cosa ha misurato il report
Perimetro e risultati principali, come pubblicati da Unit 42:
- Oltre 750 incidenti cyber maggiori analizzati, in ogni settore principale, in più di 50 paesi.
- Nei casi più rapidi investigati, gli attaccanti hanno impiegato appena 72 minuti dall’accesso iniziale all’esfiltrazione dei dati, quattro volte più veloce dell’anno precedente.
- Le debolezze legate all’identità hanno avuto un ruolo materiale in quasi il 90% delle investigazioni. Il report descrive attaccanti che entrano con credenziali e token rubati invece di forzare le difese.
- Nel 23% degli incidenti gli attaccanti hanno sfruttato applicazioni SaaS di terze parti. L’87% delle intrusioni ha coinvolto attività su più superfici d’attacco. Quasi il 48% degli incidenti ha incluso attività basata sul browser.
- In oltre il 90% degli incidenti, misconfigurazioni o lacune nella copertura di sicurezza hanno materialmente abilitato l’attacco. Unit 42 collega il dato al tool sprawl, notando che molte organizzazioni usano 50 o più prodotti di sicurezza.
Il report Unit 42 2026 in numeri
Tutti i dati provengono dall’Unit 42 2026 Global Incident Response Report come pubblicato sul blog di Palo Alto Networks da Sam Rubin il 17 febbraio 2026. Cifre che circolano altrove e che attribuiscono una percentuale precisa ai casi di estorsione con cifratura non compaiono in questa fonte e non sono usate qui.
La frase che dovrebbe cambiare un piano di recovery
L’estorsione basata su cifratura è calata del 15% rispetto all’anno precedente, perché sempre più attaccanti saltano la cifratura e vanno diritti al furto di dati e alla disruption. Dalla prospettiva dell’attaccante è più rapido, più silenzioso e crea pressione immediata senza i segnali su cui i difensori facevano affidamento per rilevare gli attacchi ransomware.
Dove è finita la finestra di risposta
I risultati sui tempi contano più di quelli sui volumi. Un piano che presuppone ore per accorgersi ed escalare è tarato su un avversario che non impiega più ore. Per il quadro generale, vedi la nostra guida su decryption e recovery del ransomware.
Le percentuali principali del report
Cosa si ripete davvero in 750 investigazioni
Unit 42 2026 Global Incident Response Report, Palo Alto Networks, febbraio 2026
Cosa cambia in un piano ransomware
I controlli sotto seguono i risultati specifici sopra, non consigli generici sul ransomware. Ognuno risponde a qualcosa che il report ha misurato.
| Controllo | A quale risultato risponde | Lacuna che chiude |
|---|---|---|
| Irrigidimento di identità e accessi | Debolezze di identità materiali in quasi il 90% delle investigazioni | Credenziali rubate trattate come un problema di endpoint |
| Detection dell’esfiltrazione dati | L’estorsione con cifratura è calata del 15%; gli attaccanti vanno diritti al furto dati | Detection tarata sull’evento di cifratura che potrebbe non arrivare mai |
| Inventario dei SaaS di terze parti | Il 23% degli incidenti ha sfruttato applicazioni SaaS di terze parti | Integrazioni fidate esentate dallo scrutinio riservato all’infrastruttura core |
| Visibilità cross superficie | L’87% delle intrusioni ha attraversato più superfici d’attacco | Segnali ricuciti a mano mentre il tempo scorre |
| Revisione della configurazione prima dell’acquisto | Oltre il 90% degli incidenti abilitato da misconfigurazioni o lacune, con 50 o più prodotti per organizzazione | Comprare un prodotto per risolvere un problema di copertura creato dal tool sprawl |
I failure mode che questo report espone
Ognuno dei punti seguenti discende da un risultato misurato, non da una preoccupazione generica sul ransomware.
- ⛔ Equiparare il recovery al restore. Se l’operatore non ha mai cifrato, non c’è nulla da ripristinare e la copia rubata resta comunque fuori.
- ⛔ Misurare la prontezza in ore quando la catena documentata più rapida dall’accesso all’esfiltrazione è durata 72 minuti.
- ⛔ Trattare l’identità come un tema di igiene IT invece che come il vettore d’attacco primario in quasi il 90% delle investigazioni.
- ⛔ Esentare integrazioni dei vendor e SaaS dallo scrutinio mentre il 23% degli incidenti ci passa attraverso.
- ⛔ Rispondere a una lacuna di copertura con un altro prodotto, quando un tool sprawl da 50 o più prodotti è parte di ciò che il report collega al dato del 90% sulle misconfigurazioni.
Ripristinare i file non annulla il furto di dati
Quando l’estorsione si allontana dalla cifratura, il backup smette di essere la risposta e ne diventa solo una parte. Unit 42 registra che gli attaccanti saltano sempre più spesso del tutto la cifratura e vanno diritti al furto di dati e alla disruption. Un restore pulito ti restituisce le operazioni. Non ti restituisce la copia che l’operatore ha preso, e non toglie la leva che quella copia gli dà.
Da dove dice di partire il report
Unit 42 distilla oltre 750 investigazioni sul campo in tre priorità. Sono elencate qui nell’ordine del report stesso. Per la checklist completa vedi la guida su come prevenire un attacco ransomware.
- ✅ Ridurre l’esposizione. Mettere in sicurezza l’intero ecosistema applicativo e trattare connessioni fidate, integrazioni di terze parti, SaaS non gestito e normale attività di browser con lo stesso scrutinio dell’infrastruttura core.
- ✅ Ridurre l’area di impatto. Irrigidire identity e access management e rimuovere la fiducia non necessaria, il che limita quanto lontano può arrivare un attaccante una volta dentro.
- ✅ Aumentare la velocità di risposta. Costruire la visibilità per vedere attraverso gli ambienti e la capacità di rilevare, identificare e prioritizzare abbastanza in fretta da contenere prima che l’avversario finisca.
- ✅ Verificare misconfigurazioni e lacune di copertura prima di aggiungere strumenti, dato che hanno materialmente abilitato l’attacco in oltre il 90% degli incidenti investigati.
- ✅ Estendere la detection al movimento dei dati, non solo alla cifratura dei file, così che un tentativo di estorsione senza cifratura resti comunque visibile.
La metodologia è la parte utile
Poiché il report nasce dagli ingaggi di incident response di Unit 42 e non da risposte a questionari, le sue percentuali descrivono ciò che i responder hanno trovato sul campo in oltre 750 investigazioni. Questo lo rende utilizzabile come benchmark per le proprie assunzioni. In Italia va letto insieme agli obblighi di notifica al Garante per la protezione dei dati personali, che scattano sul furto di dati anche quando nessun file è stato cifrato. È anche il punto di partenza per recuperare i file crittografati quando la cifratura fa parte del caso.
Fonti
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 17 luglio 2026
