Il 34% delle aziende ANZ paga ancora i riscatti ransomware, secondo uno studio

Un terzo delle organizzazioni ANZ sceglie ancora di pagare

Una nuova ricerca di Commvault ha confermato ciò che molti professionisti della sicurezza sospettavano da tempo: pagare una richiesta di riscatto ransomware è tutt'altro che una soluzione affidabile. Il rapporto State of Data Resilience ANZ 2026 dell'azienda ha rilevato che il 34% delle organizzazioni in Australia e Nuova Zelanda che hanno subito un attacco ransomware ha comunque pagato il riscatto, pur non avendo alcuna reale garanzia che i propri dati sarebbero stati restituiti o che i sistemi sarebbero stati ripristinati e funzionanti.

Il dato arriva in un momento in cui il ransomware è diventato meno un raro evento di crisi e più una realtà operativa per le aziende della regione. Eppure la decisione di pagare viene ancora, in molti casi, presa sotto estrema pressione, nel mezzo di un incidente attivo, piuttosto che come parte di una strategia di risposta pianificata con calma in anticipo.

Perché pagare raramente risolve il vero problema

Il dettaglio più importante nei risultati di Commvault non è che le organizzazioni paghino, ma cosa succede dopo che lo fanno. Consegnare un riscatto non significa automaticamente che i dati rubati o cifrati tornino intatti, o che l'aggressore elimini le copie che ha sottratto prima di bloccare i sistemi. Questa distinzione è importantissima dal punto di vista della privacy. Molti incidenti ransomware oggi comportano sia il furto di dati sia la cifratura, il che significa che dati dei clienti, informazioni sui dipendenti o dati finanziari potrebbero aver già lasciato la rete dell'organizzazione prima ancora che inizi qualsiasi conversazione sul riscatto.

Un'indagine correlata che copre la stessa regione rafforza questo punto. La ricerca ha rilevato che il 36% dei pagamenti di riscatto non riesce a ripristinare i dati, il che significa che più di un terzo delle organizzazioni che hanno pagato si è comunque ritrovata senza sistemi o file funzionanti. Pagare, in altre parole, non è una transazione con esito garantito. È una scommessa fatta con un avversario che non ha alcun obbligo legale o reputazionale di mantenere l'accordo.

Per le organizzazioni che detengono dati personali sensibili, che si tratti di cartelle cliniche, dati finanziari o informazioni sull'identità dei clienti, questo crea un rischio privacy composto. Anche un pagamento andato a buon fine non annulla l'esposizione già avvenuta. I dati copiati dagli aggressori prima della cifratura possono ancora essere diffusi, venduti o usati per ulteriori estorsioni, indipendentemente dal fatto che il riscatto sia stato pagato. La ricerca di Commvault suggerisce che troppe organizzazioni ANZ stanno trattando il pagamento del riscatto come una strategia di ripristino, quando funziona più come una scommessa fatta dopo che il danno è già stato compiuto.

La pressione di decidere in piena crisi

Parte di ciò che rende persistente questo schema è l'ambiente in cui vengono prese queste decisioni. Gli attacchi ransomware tendono a intensificarsi rapidamente, spesso bloccando il personale fuori dai sistemi critici nel giro di poche ore. Sotto quel tipo di pressione, con le operazioni ferme e clienti o partner che fanno domande, pagare può sembrare la strada più rapida per tornare alla normalità. Il rapporto di Commvault inquadra la cosa come organizzazioni che prendono decisioni ransomware ad altissimo rischio nel mezzo di una crisi, piuttosto che come parte di un piano preesistente e testato.

Questo processo decisionale guidato dalla crisi è esattamente il motivo per cui la preparazione conta molto più della reazione. Le organizzazioni con sistemi di backup testati, piani di risposta agli incidenti chiari e criteri prestabiliti per decidere se interagire con gli aggressori si trovano in una posizione molto più forte di quelle che improvvisano in tempo reale. I dati suggeriscono che molte aziende ANZ non hanno ancora raggiunto quel livello di preparazione e stanno invece scegliendo di pagare perché sembra essere l'unica leva disponibile in quel momento.

Cosa significa per te

Se sei un consumatore, un dipendente o un cliente di un'organizzazione, questa ricerca ricorda che il pagamento di un riscatto da parte di un'azienda non significa che i tuoi dati siano al sicuro. Anche se un'azienda annuncia di aver risolto un incidente, le informazioni esposte durante l'attacco potrebbero essere ancora in circolazione. Vale la pena prestare attenzione alle notifiche di violazione di qualsiasi servizio usi e prenderle sul serio anche se l'organizzazione dichiara che è stato pagato un riscatto o che i sistemi sono stati ripristinati.

Se lavori in un'azienda, soprattutto in una che gestisce dati di clienti o dipendenti, il messaggio è più diretto: non lasciare che la decisione di pagare un riscatto venga presa per la prima volta durante un attacco reale. Le organizzazioni che pianificano in anticipo, testano i backup e dispongono di un protocollo di risposta chiaro hanno molte meno probabilità di trovarsi nel tipo di scenario senza via d'uscita descritto da Commvault, in cui il pagamento non garantisce la restituzione dei dati e l'esposizione della privacy è spesso già avvenuta quando arriva la nota di riscatto.

Punti chiave

• Pagare una richiesta di riscatto ransomware non garantisce che i dati o i sistemi verranno ripristinati e non annulla l'eventuale furto di dati già avvenuto.
• L'esposizione dei dati e il rischio per la privacy possono esistere indipendentemente dal pagamento del riscatto, poiché gli aggressori spesso rubano le informazioni prima di cifrarle.
• Le organizzazioni dovrebbero costruire piani di risposta al ransomware e testare i backup prima che si verifichi un incidente, non durante.
• Le persone dovrebbero restare vigili sulle notifiche di violazione anche quando un'azienda segnala un incidente come risolto.

Il ransomware non sparirà e la ricerca di Commvault chiarisce che le organizzazioni ANZ stanno ancora affrontando queste decisioni in modo reattivo anziché strategico. Costruire la resilienza prima che avvenga un attacco resta il modo più affidabile per proteggere sia le operazioni aziendali sia i dati personali che le organizzazioni sono tenute a salvaguardare.