L’IA sta rendendo il ransomware più efficace, affermano le organizzazioni indiane
Un nuovo rapporto di settore citato da Express Computer ha rilevato che il 62% delle organizzazioni indiane colpite da ransomware ritiene che l’intelligenza artificiale abbia reso questi attacchi più efficaci. Il dato arriva in un momento in cui i team di sicurezza di tutto il Paese hanno passato anni a costruire difese, applicare patch ai sistemi, formare il personale e investire in strumenti di rilevamento, eppure gli aggressori sembrano adattarsi più velocemente del previsto.
Il motivo per cui l’IA continua a comparire nelle conversazioni sul ransomware non è misterioso. Strumenti in grado di automatizzare la ricognizione, generare contenuti di phishing convincenti o aiutare gli aggressori a muoversi più rapidamente all’interno di una rete riducono il tempo e le competenze necessarie per portare a termine un’intrusione riuscita. Per le organizzazioni che cercano di difendersi dal ransomware, questo cambiamento è rilevante perché modifica la velocità della minaccia, non solo la sua sofisticazione.
La trappola della doppia estorsione: quando pagare non è la fine
Forse il dettaglio più significativo del rapporto non riguarda affatto l’IA. Tra le organizzazioni che hanno pagato un riscatto, quasi la metà (48%) ha dichiarato di aver ricevuto successivamente una seconda richiesta di estorsione. Questo dato ridisegna ciò che il ransomware è realmente nel 2025. Non si tratta più di una singola transazione in cui la vittima paga e la vicenda si conclude. È diventato invece una trattativa continua in cui gli aggressori mantengono contemporaneamente diverse forme di pressione: la crittografia ancora attiva dei sistemi, copie dei dati rubati e la minaccia costante di diffondere pubblicamente quelle informazioni.
Questo sistema di pressione a più livelli è ciò che i ricercatori di sicurezza chiamano spesso doppia o tripla estorsione, e spiega perché pagare un riscatto non garantisca più una soluzione. Anche dopo il pagamento, i dati rubati continuano a esistere da qualche parte e gli aggressori conservano la possibilità di monetizzarli nuovamente, chiedendo altri soldi o semplicemente vendendoli.
Perché questo è importante per la privacy personale e dei clienti
Le implicazioni per la privacy vanno ben oltre l’organizzazione violata. Quando i gruppi ransomware rubano i dati prima di crittografare i sistemi, le persone le cui informazioni si trovano in quei database – clienti, dipendenti, pazienti – diventano merce di scambio in una trattativa a cui non prendono parte. Episodi recenti al di fuori dell’India mostrano come ciò si concretizzi. In Europa, i dati dei clienti rubati a operatori di telecomunicazioni sono apparsi in vendita nei forum del dark web, come quando i dati dei clienti di Iliad Italia sono stati messi in vendita sul dark web, o sono stati rivendicati apertamente da gruppi di estorsione, come nel caso in cui ShinyHunters ha rivendicato una violazione a Odido che ha coinvolto 21 milioni di record.
Questi casi mostrano anche come le conseguenze di una violazione possano intensificarsi nel tempo. Un singolo incidente a Odido, ad esempio, ha portato a una violazione dei dati che ha coinvolto 6,2 milioni di record e ha poi innescato una risposta con azione collettiva che ha raccolto oltre 200.000 sostenitori in 24 ore. Lo schema è coerente: una volta che i dati sfuggono al controllo di un’organizzazione, possono riemergere in cause legali, negli annunci del dark web o in tentativi ripetuti di estorsione molto tempo dopo che la notizia iniziale è svanita. I risultati indiani suggeriscono che questa stessa dinamica – una seconda richiesta di estorsione dopo un riscatto pagato – sta diventando un tratto distintivo del ransomware, piuttosto che un’eccezione.
Cosa significa per te
Se sei un dipendente, un cliente o un utente i cui dati sono conservati presso un’organizzazione che subisce un attacco ransomware, il rischio concreto non è limitato alla decisione dell’azienda di pagare o meno un riscatto. Il punto è se le tue informazioni personali siano state copiate prima della crittografia e cosa accada loro in seguito. Anche le organizzazioni che rispondono rapidamente e pagano per risolvere un incidente potrebbero vedere quei dati circolare successivamente.
Per le aziende, l’insegnamento legato all’IA è altrettanto diretto: attacchi più veloci e automatizzati significano meno tempo tra la compromissione iniziale e l’impatto su larga scala. Dare per scontato che esista una finestra prevedibile per rilevare e fermare un’intrusione è sempre più rischioso.
Azioni concrete
Per gli individui: monitora gli account collegati ai servizi che utilizzi per individuare attività insolite, usa password uniche per ciascun account e presta attenzione alle notifiche di violazione invece di considerarle come comunicazioni di routine.
Per le organizzazioni: parti dal presupposto che qualsiasi incidente ransomware possa comportare il furto di dati, non solo la crittografia, e costruisci piani di risposta basati su questa ipotesi. Testa regolarmente i processi di backup e ripristino, in modo che pagare un riscatto non sia mai l’unica opzione sul tavolo, e considera le minacce guidate dall’IA come un motivo per accelerare rilevamento e risposta, non come una ragione per allarmarsi.
L’evoluzione del ransomware in un processo di estorsione a più fasi, accelerata dagli strumenti di IA, significa che sia chi difende sia le persone i cui dati sono a rischio devono pensare oltre il momento dell’attacco. Rimanere informati su come si sviluppano questi incidenti e su cosa accade ai dati rubati in seguito rimane uno dei modi più efficaci per essere preparati.
