Il ransomware aveva un copione semplice: bloccare i file della vittima, chiedere un riscatto e aspettare. Se il bersaglio disponeva di backup solidi, spesso poteva ripristinare i sistemi e andarsene senza pagare. Quella rete di sicurezza è in gran parte scomparsa. Nel 2025, gli operatori di ransomware sono passati a quella che viene chiamata doppia estorsione, una tattica che combina la crittografia dei file con la minaccia di pubblicare i dati rubati, anche se la vittima non considera nemmeno la richiesta di riscatto.

Questo cambiamento è importante ben oltre i reparti IT. Cambia ciò che significa realmente "essere preparati" a un attacco ransomware, sia per le aziende che per gli individui.

Cosa significa la doppia estorsione e perché i backup non ti salvano più

La strategia di difesa tradizionale contro il ransomware si è sempre concentrata sui backup: se i file vengono crittografati, ripristina da una copia pulita e vai avanti. Quel consiglio non è scomparso, ma da solo non è più sufficiente.

Il ransomware a doppia estorsione aggiunge un secondo livello di pressione. Prima di crittografare i sistemi della vittima, gli aggressori copiano silenziosamente i file sensibili dalla rete. Quindi, anche se la vittima recupera tutto dai backup senza pagare un centesimo, gli aggressori conservano comunque una copia di quei dati rubati. La loro nuova leva non è "paga o perdi i tuoi file", ma "paga o pubblichiamo online i tuoi registri clienti, documenti finanziari o comunicazioni interne".

Questo ribalta completamente il calcolo della risposta al ransomware. Un'azienda con backup impeccabili e un processo di ripristino rapido può comunque essere estorta, perché la minaccia si è spostata dalla disponibilità (puoi accedere ai tuoi dati) alla riservatezza (puoi mantenere privati i tuoi dati). Per le organizzazioni che gestiscono informazioni personali sensibili, questa distinzione può fare la differenza tra un incidente IT contenuto e una vera e propria crisi reputazionale e legale.

Quali settori e tipi di dati vengono presi di mira

I gruppi ransomware tendono a gravitare verso organizzazioni che detengono dati sufficientemente preziosi da rendere le minacce di fuga di notizie credibili e dolorose. I settori che gestiscono grandi volumi di informazioni personali sensibili, dati finanziari o dati operativi sono costantemente bersagli attraenti, proprio perché la minaccia di esposizione comporta conseguenze reali: sanzioni normative, cause legali e perdita di fiducia dei clienti.

Il settore sanitario è stato un esempio particolarmente evidente di ciò che è in gioco quando la doppia estorsione riesce. Le cartelle cliniche dei pazienti combinano alcuni dei tipi di dati più sensibili esistenti, storie mediche, dettagli assicurativi, numeri di previdenza sociale, tutto in un unico posto. Questo è parte del motivo per cui una violazione nel settore sanitario che ha colpito decine di milioni di pazienti è diventata un caso di studio così lampante di ciò che accade quando i dati rubati finiscono in mani criminali anziché essere semplicemente crittografati su un server.

Il quadro generale per il 2025 non è un numero ridotto di operatori ransomware che prendono di mira meno obiettivi ma più grandi. È l'opposto: un ecosistema criminale più frammentato e competitivo, con più gruppi che conducono campagne di doppia estorsione simultaneamente in diversi settori. Questa diversificazione è esplorata più a fondo nell'analisi di come le bande di ransomware si stiano moltiplicando in vista del 2026, senza segnali di rallentamento del trend complessivo.

Dove si inseriscono crittografia e VPN in una difesa a più livelli

Nessun singolo strumento ferma la doppia estorsione, ma un approccio a più livelli riduce sia le probabilità di una violazione che i danni se questa si verifica.

Crittografare i dati sensibili a riposo, cioè mentre si trovano su server o dispositivi, significa che anche se gli aggressori esfiltrano i file, ciò che rubano potrebbe essere illeggibile senza le chiavi giuste. Questo non previene una violazione, ma può neutralizzare la minaccia di fuga di dati che dà mordente alla doppia estorsione.

Crittografare i dati in transito è altrettanto importante. Una VPN crea un tunnel crittografato per i dati che si spostano tra dispositivi e reti, aiutando a prevenire che gli aggressori intercettino credenziali o file mentre viaggiano su connessioni meno sicure, come Wi-Fi pubblici o configurazioni di accesso remoto. Per le forze lavoro remote e ibride, questo elimina uno dei punti di ingresso comuni che i gruppi ransomware utilizzano per ottenere l'accesso iniziale prima di distribuire i payload di crittografia.

Né la crittografia né l'uso della VPN sostituiscono la sicurezza degli endpoint, la segmentazione della rete o la formazione dei dipendenti sul phishing, che rimane uno dei principali metodi di distribuzione del ransomware. Ma insieme, questi strati riducono la superficie d'attacco e limitano ciò che i criminali possono effettivamente fare con i dati che riescono a rubare.

Cosa significa questo per te

Se gestisci un'azienda, il punto chiave è semplice: la sola strategia dei backup non è più un piano di difesa completo contro il ransomware. Devi anche pensare a cosa succede se i tuoi dati vengono rubati, non solo crittografati. Ciò significa crittografare i file sensibili a riposo, proteggere l'accesso remoto con VPN, limitare chi può accedere ai dati sensibili in primo luogo e avere un piano di risposta agli incidenti che tenga conto delle minacce di fuga di dati pubblici, non solo dei tempi di inattività del sistema.

Se sei un individuo, il rischio è più indiretto ma comunque reale. I tuoi dati personali, cartelle cliniche, dettagli finanziari, credenziali di accesso, potrebbero trovarsi all'interno di sistemi gestiti da aziende o fornitori che diventano bersagli di doppia estorsione. Utilizzare password complesse e uniche, abilitare l'autenticazione a più fattori e fare attenzione a quali organizzazioni condividi informazioni sensibili riducono la tua esposizione quando una violazione si verifica altrove.

Consigli pratici

  • Considera i backup come un'assicurazione per il ripristino, non come una difesa completa contro il ransomware; non fermano le minacce di fuga di dati.
  • Crittografa i dati sensibili sia a riposo che in transito e utilizza una VPN per l'accesso remoto per ridurre il rischio di intercettazione.
  • Dai per scontato che qualsiasi organizzazione che detiene i tuoi dati personali possa diventare un bersaglio e monitora gli account per attività insolite dopo qualsiasi violazione segnalata.
  • Le aziende dovrebbero sviluppare piani di risposta agli incidenti che affrontino esplicitamente gli scenari di fuga di dati, non solo il ripristino del sistema.

Il ransomware a doppia estorsione nel 2025 riflette una verità più ampia sulle minacce informatiche moderne: gli aggressori si adattano più velocemente di quanto le difese statiche riescano a tenere il passo. Rimanere informati su come queste tattiche si evolvono e stratificare di conseguenza crittografia, controlli di accesso e connessioni sicure rimane il modo più pratico per ridurre il rischio in un ambiente in cui i backup da soli non bastano più.