Gli attacchi ransomware raramente iniziano con la crittografia. Molto prima che i sistemi vengano bloccati e compaia una richiesta di riscatto, gli aggressori potrebbero già possedere le credenziali necessarie per entrare nella rete di un'organizzazione. Questo è il messaggio centrale di un recente articolo di Security Boulevard basato sul Verizon Data Breach Investigations Report (DBIR) 2026, che ridefinisce il modo in cui dovremmo pensare agli attacchi ransomware tramite credenziali rubate: il blocco è l'atto finale, non la mossa di apertura.

L'estratto disponibile da quella copertura del report è breve, quindi questo post si attiene a ciò che afferma e a ciò che vpn.social ha già riportato. Il messaggio chiave resta chiaro e pratico sia per gli individui che per le organizzazioni.

Come le credenziali rubate diventano un punto di ingresso per il ransomware

È utile immaginare il ransomware come una catena di approvvigionamento piuttosto che come un singolo evento. Attori diversi gestiscono fasi diverse. Un gruppo ottiene le credenziali di accesso, un altro le acquista o le utilizza per entrare in una rete, e il ransomware stesso arriva dopo, una volta che l'accesso è stato assicurato.

Questo è importante perché un nome utente e una password validi sembrano un'attività normale. Un aggressore che effettua l'accesso con credenziali reali non ha bisogno di superare un firewall o sfruttare una vulnerabilità software. Si limita ad accedere, e gli strumenti di sicurezza potrebbero non segnalare nulla di insolito all'inizio.

Nel momento in cui inizia la crittografia, l'aggressore potrebbe essere già all'interno da tempo. La richiesta di riscatto è il momento in cui la vittima lo scopre, non il momento in cui l'attacco è iniziato.

Dove inizia la catena di approvvigionamento delle credenziali: infostealer e credenziali trapelate

Da dove provengono quindi le credenziali? Una fonte principale è il malware infostealer, che raccoglie silenziosamente le credenziali salvate, i dati di sessione e altri segreti dai dispositivi infetti. I dati rubati vengono tipicamente raggruppati in "log" che i criminali possono scambiare o vendere.

vpn.social ha trattato questo cambiamento in dettaglio. Come abbiamo riportato, i log degli infostealer hanno superato il phishing come principale causa di violazione, con i ricercatori che indicano il malware infostealer come un modo sempre più comune per gli aggressori di entrare nelle reti aziendali. Questo si adatta al quadro della catena di approvvigionamento: la raccolta di credenziali è una fase distinta che alimenta qualunque attacco arrivi dopo, incluso il ransomware.

Un singolo laptop personale infetto può essere sufficiente. Se un dipendente salva le credenziali di accesso al lavoro in un browser su un dispositivo compromesso, quella credenziale può finire in un mercato criminale senza che il datore di lavoro lo sappia mai.

Cosa dice il DBIR 2026 sull'accesso tramite ransomware

Il Verizon DBIR è uno degli studi annuali più citati su come avvengono le violazioni. Secondo la copertura dell'edizione 2026, gli aggressori potrebbero già avere le credenziali di cui hanno bisogno prima che un attacco ransomware diventi visibile. L'impostazione colloca le credenziali all'inizio della catena di attacco anziché trattare la crittografia come punto di partenza.

Non forniremo numeri su questa conclusione qui, perché l'estratto della fonte non li fornisce. I lettori che desiderano cifre esatte dovrebbero consultare il report stesso. La direzione, tuttavia, è coerente con la tendenza più ampia del furto di credenziali che guida l'accesso iniziale.

L'implicazione pratica è un cambiamento di focus. Difendersi dal ransomware non riguarda solo i backup e la protezione degli endpoint alla fine della catena. Significa anche ridurre il numero di credenziali valide ed esposte che i criminali possono raccogliere all'inizio.

Cosa significa per te: passi pratici per ridurre le credenziali esposte

Non puoi fermare ogni infostealer, ma puoi rendere le credenziali rubate molto meno utili. Considera questi passi:

  • Usa una password unica per ogni account. Se una credenziale trapela, non dovrebbe sbloccare nient'altro.
  • Adotta un gestore di password. Rende realistiche password uniche e lunghe, ed evita di memorizzare le credenziali in modo approssimativo in un browser su un dispositivo di cui non ti fidi completamente.
  • Attiva l'autenticazione a più fattori (MFA). Una password rubata da sola non è quindi sufficiente per accedere. Preferisci metodi basati su app o hardware quando disponibili.
  • Mantieni i dispositivi puliti. Installa gli aggiornamenti, evita download di software non ufficiali e rimuovi i programmi che non riconosci, poiché gli infostealer spesso arrivano in questo modo.
  • Separa l'uso lavorativo da quello personale. Evita di accedere agli account di lavoro su dispositivi personali o condivisi.
  • Cambia le password dopo una sospetta infezione o una notifica di violazione. Fallo da un dispositivo noto come pulito e disconnetti le sessioni attive.

Se gestisci un team, la stessa logica si applica su scala più ampia: applica l'MFA, limita chi detiene accessi privilegiati e rivedi quali account hanno ancora accessi di cui non hanno più bisogno.

Taglia la linea di approvvigionamento

La lezione centrale dalla copertura del Verizon DBIR 2026 è che gli attacchi ransomware tramite credenziali rubate iniziano ben prima che qualcuno veda una richiesta di riscatto. La difesa più efficace è rendere le tue credenziali difficili da rubare e meno preziose se lo sono.

Inizia oggi con un semplice controllo: elenca i tuoi account importanti, verifica la presenza di password riutilizzate e abilita l'MFA ovunque sia offerta. Poi sposta le tue credenziali in un gestore di password con credenziali uniche per ogni servizio. Per uno sguardo più approfondito su come vengono raccolte le credenziali in primo luogo, leggi il nostro report su i log degli infostealer che superano il phishing come principale causa di violazione. Un po' di igiene ora può spezzare il primo anello della catena.