Un'economia del ransomware più rapida e frammentata

Il ransomware aveva un tempo un volto. Una manciata di gang dominanti, pochi nomi noti e periodici smantellamenti da parte delle forze dell'ordine che finivano sulle prime pagine. Secondo il nuovo Report Ransomware 2026 di Black Kite, quell'epoca è finita. Tra il 1° aprile 2025 e il 31 marzo 2026, Black Kite ha identificato 7.551 vittime di ransomware divulgate pubblicamente, con un aumento del 24,9% rispetto al periodo di riferimento precedente. Ancora più sorprendente, il rapporto descrive un'attività di attacco che ha accelerato di circa il 60% nell'arco di una singola finestra di sei mesi, senza segni di rallentamento.

Ciò che è cambiato non è solo il volume. È la forma stessa della minaccia. Invece di un ristretto numero di gruppi ben finanziati a dominare la scena, i ricercatori di Black Kite hanno scoperto che nuovi gruppi ransomware emergono su base settimanale. L'economia del ransomware, in altre parole, è passata da un ristretto numero di franchising dominanti a un mercato esteso e decentralizzato in cui affiliati, strumenti e codice sorgente trapelato circolano liberamente e nuovi marchi compaiono quasi alla stessa velocità con cui quelli vecchi scompaiono.

Perché gli smantellamenti non hanno rallentato nulla

Per anni, smantellare un'importante operazione ransomware è stato considerato un traguardo. Quando LockBit e ALPHV sono stati smantellati nel 2024, molti nel settore della sicurezza si aspettavano un calo significativo nel volume degli attacchi. Invece, i dati di Black Kite mostrano che è accaduto l'opposto: l'ecosistema si è frammentato e, semmai, è diventato più pericoloso. Gli ex affiliati non si sono ritirati. Si sono riorganizzati sotto nuove insegne, hanno ricostruito la loro infrastruttura e hanno ripreso le operazioni, spesso più velocemente di quanto la precedente generazione di gang fosse riuscita a crescere.

Questo schema aiuta a spiegare perché i numeri specifici per settore nel rapporto appaiano così severi. Le istituzioni finanziarie, ad esempio, hanno visto gli attacchi diretti ransomware aumentare del 76% su base annua, e Black Kite ha rilevato che circa la metà degli ecosistemi di fornitori finanziari presenta ora un'esposizione critica al rischio legata a rapporti con terze parti. Neanche l'Europa è stata risparmiata: gli attacchi ransomware nella regione sono aumentati del 55,1% su base annua nei primi quattro mesi del 2026, con una media di 171 incidenti al mese. La conclusione è coerente in ogni regione e settore analizzati dal rapporto: gli smantellamenti interrompono i singoli marchi, ma non interrompono significativamente l'economia sottostante che li produce.

L'IA sta abbassando la barriera all'ingresso

Uno dei risultati più rilevanti del rapporto è il ruolo che l'intelligenza artificiale sta giocando nell'accelerare questa frammentazione. I ricercatori di Black Kite sottolineano che gli strumenti di IA stanno abbassando la barriera tecnica per i potenziali aggressori, rendendo più facile per attori più piccoli e meno sofisticati costruire operazioni ransomware funzionali senza la profonda competenza tecnica che un tempo limitava chi poteva partecipare a questo spazio. Questo cambiamento aiuta a spiegare l'emergere settimanale di nuovi gruppi: le competenze e le infrastrutture necessarie per lanciare una campagna ransomware sono semplicemente più accessibili di quanto non fossero anche solo un anno o due fa.

Questo è importante per chiunque segua le tendenze della sicurezza informatica, non solo per i team di sicurezza aziendale. Un'economia della minaccia più frammentata e assistita dall'IA significa più attori che cercano punti deboli, obiettivi più opportunistici e meno prevedibilità su chi potrebbe essere colpito successivamente. Le campagne ransomware si basano sempre più sul furto di dati e sull'esposizione di informazioni personali o aziendali come leva, il che significa che le ricadute sulla privacy derivanti da questi attacchi si estendono ben oltre le organizzazioni inizialmente violate.

Cosa significa questo per te

La maggior parte dei lettori non gestisce programmi di sicurezza aziendale, ma la frammentazione descritta da Black Kite ha comunque conseguenze reali per la privacy e la sicurezza quotidiana. Un numero maggiore di operatori ransomware indipendenti significa una gamma più ampia di tattiche, tra cui furto di credenziali, phishing e sfruttamento di dati personali esposti, che possono colpire individui le cui informazioni si trovano presso fornitori violati, operatori sanitari, istituzioni finanziarie o datori di lavoro.

Rafforzare la propria igiene digitale rimane una delle contromisure più efficaci disponibili. Ciò include l'uso di password univoche e robuste, l'attivazione dell'autenticazione a più fattori ovunque possibile e la cautela sui dati personali condivisi con servizi che potrebbero successivamente essere coinvolti in una violazione. Cifrare il traffico internet con una VPN affidabile, come le opzioni attualmente disponibili tramite PIA, IVPN o Windscribe, aggiunge un ulteriore livello di protezione contro la raccolta opportunistica di dati, in particolare su reti pubbliche o non protette dove spesso inizia il furto di credenziali. Fornitori orientati alla privacy come oVPN possono anche essere utili per chi cerca di limitare la traccia di dati che gli aggressori potrebbero altrimenti sfruttare.

Stare al passo con una minaccia frammentata

Il Report Ransomware 2026 di Black Kite chiarisce che i vecchi presupposti sul ransomware, ovvero che smantellare pochi grandi attori riduca significativamente il rischio, non sono più validi. Con 7.551 vittime divulgate, un aumento del 24,9% su base annua e nuovi gruppi che si formano settimanalmente, l'economia della minaccia è diventata più veloce e difficile da prevedere, aiutata in parte da strumenti di IA che rendono più facile l'ingresso ad aggressori meno qualificati.

Per individui e organizzazioni, la risposta pratica non è il panico, ma la coerenza: autenticazione forte, condivisione cauta dei dati e strumenti di privacy a più livelli che riducono l'esposizione indipendentemente da quale gruppo sia attivo questo mese. Il ransomware può essere più frammentato che mai, ma i fondamenti di una buona igiene digitale rimangono una difesa affidabile.