La nuova porta d'ingresso del ransomware: il tuo login, non un difetto del software

Per anni, i consigli di cybersecurity si sono concentrati sul patchare il software prima che gli attaccanti potessero sfruttare una vulnerabilità nota. Quel consiglio conta ancora, ma un'analisi del 2026 sugli incidenti ransomware mostra che non è più il punto da cui partono la maggior parte degli attacchi. Secondo i risultati, il 79% degli attacchi ransomware ha ora origine da identità compromesse: nomi utente e password rubati attraverso email di phishing, telefonate di social engineering e campagne di credential stuffing che riutilizzano dati di accesso divulgati su più siti web.

In termini pratici, questo significa che le gang ransomware stanno sempre più spesso saltando il lavoro tecnico di trovare e sfruttare un server non patchato. Invece, si limitano ad accedere con credenziali che i dipendenti hanno ceduto inconsapevolmente, sia attraverso una pagina di login fasulla convincente, una telefonata da parte di qualcuno che si spaccia per il supporto IT, o una password riutilizzata da una vecchia violazione non correlata. Il risultato è lo stesso esito devastante: file crittografati, operations bloccate e una richiesta di riscatto. Ma il punto di ingresso si è spostato dal codice alle persone.

Perché l'identità è diventata il percorso d'attacco preferito

Questo cambiamento ha senso dal punto di vista di un attaccante. Sfruttare una vulnerabilità software richiede ricerca, tempismo e spesso una corsa contro le patch di sicurezza. Rubare una credenziale, al contrario, può essere fatto su larga scala con kit di phishing economici o strumenti automatizzati che testano coppie nome utente-password divulgate su decine di servizi contemporaneamente. Se anche una piccola percentuale di dipendenti riutilizza password o cade in un messaggio di phishing ben costruito, gli attaccanti ottengono un punto d'appoggio che appare identico a un accesso legittimo. Non c'è alcun allarme per una password rubata usata correttamente, ed è proprio per questo che è diventato il metodo dominante. Come riportato in Sophos: il 79% dei ransomware inizia con credenziali rubate, i ricercatori di sicurezza hanno seguito da vicino questa tendenza, e gli ultimi dati del 2026 confermano che non si tratta di un caso isolato, ma di un modello costante nel panorama ransomware.

Una volta dentro, gli attaccanti che usano credenziali rubate spesso si muovono in silenzio. Possono accedere a sistemi email, storage cloud e reti interne usando lo stesso accesso che un dipendente userebbe ogni giorno, rendendo difficile la rilevazione precoce. Questo è un allontanamento significativo dagli attacchi basati su vulnerabilità, che in genere lasciano impronte tecniche più identificabili che i team di sicurezza possono intercettare.

L'angolo della privacy: cosa espongono davvero le credenziali rubate

Le implicazioni per la privacy qui vanno oltre i tempi di inattività di una singola azienda. Quando le gang ransomware ottengono l'accesso tramite identità compromesse, accedono spesso a molto più dei sistemi necessari per implementare la crittografia. Account email, registri clienti, file HR e comunicazioni interne si trovano spesso dietro quello stesso login. Una credenziale rubata non apre solo la porta al ransomware: può esporre dati personali appartenenti a dipendenti, clienti e partner commerciali che non hanno avuto alcuna voce in capitolo su come quella password fosse protetta.

Questo evidenzia anche perché l'igiene delle password e la protezione delle credenziali sono questioni di privacy personale, non solo preoccupazioni IT aziendali. Ogni dipendente che riutilizza una password tra un account di lavoro e un sito di shopping personale, o che inserisce credenziali in una pagina di login contraffatta, sta potenzialmente consegnando agli attaccanti una chiave master. I risultati di Sophos: il 79% dei ransomware inizia con credenziali rubate rafforzano che questo non è un caso limite raro; è ora il percorso principale su cui fanno affidamento le gang ransomware.

Cosa significa per te

Se sei un dipendente di qualsiasi organizzazione, questi dati significano che le tue abitudini individuali pesano più di quanto tu possa pensare. Una singola password riutilizzata o un clic frettoloso su un link di phishing può fare la differenza tra un incidente circoscritto e una violazione a livello aziendale. Se gestisci l'IT o la sicurezza per un'azienda, il messaggio è altrettanto chiaro: patchare i sistemi resta importante, ma la protezione dell'identità merita ora una priorità uguale, se non maggiore. L'autenticazione multi-fattore, i metodi di login resistenti al phishing e il monitoraggio dei tentativi di credential stuffing non sono più extra opzionali: sono difese centrali.

Per gli utenti comuni, questo rafforza anche una lezione più ampia sulla privacy: le password che scegli e riutilizzi hanno conseguenze che si estendono ben oltre i tuoi account. Una credenziale divulgata da un sito web non correlato può alla fine diventare il punto di ingresso per un attacco alla rete del tuo datore di lavoro.

Azioni pratiche da adottare

  • Usa password uniche e forti per ogni account, in particolare per i login legati al lavoro, e considera un password manager per renderlo praticabile.
  • Attiva l'autenticazione multi-fattore ovunque sia offerta, in particolare su email e sistemi di accesso remoto.
  • Tratta con scetticismo richieste di login inaspettate, email urgenti di reset password o chiamate IT sconosciute, e verifica tramite un canale separato prima di rispondere.
  • Se la tua organizzazione offre formazione sulla consapevolezza del phishing, prendila seriamente; riconoscere una pagina di login falsa o un'email sospetta è ora una delle difese anti-ransomware più efficaci disponibili.
  • Controlla regolarmente se le tue credenziali sono comparse in violazioni di dati note e cambia immediatamente qualsiasi password riutilizzata.

Lo spostamento del ransomware verso identità compromesse non significa che le vulnerabilità non contino più, ma significa che l'elemento umano è diventato il campo di battaglia principale. Rimanere vigili contro i tentativi di phishing e praticare una solida igiene delle credenziali è ora uno dei modi più pratici con cui individui e organizzazioni possono ridurre il proprio rischio.