Gli attacchi ransomware sono in calo, ma la minaccia diventa più affilata

Un nuovo rapporto trimestrale della società di sicurezza Halcyon lancia un messaggio contrastante per chi segue le tendenze del ransomware: il volume complessivo degli attacchi è in calo, ma le tecniche alla base degli attacchi che riescono stanno diventando notevolmente più difficili da rilevare e fermare. La scoperta principale è che i gruppi ransomware stanno sempre più adottando le cosiddette tecniche di 'EDR kill', metodi per disabilitare i software di rilevamento e risposta degli endpoint (EDR) prima di rilasciare il malware che cifra i file.

Gli strumenti EDR sono il software di sicurezza su cui molte organizzazioni fanno affidamento per individuare comportamenti sospetti su laptop, server e postazioni di lavoro prima che si trasformino in una violazione conclamata. Quando gli aggressori riescono a spegnere o accecare silenziosamente quel software, si guadagnano il tempo di muoversi attraverso la rete, rubare dati e cifrare i sistemi con molte meno probabilità di essere colti in flagrante durante l'attacco.

Da trucco da specialisti a pratica standard

Secondo i dati del Q2 2026 di Halcyon, quella che un tempo era considerata una capacità di nicchia e altamente tecnica, riservata ai gruppi ransomware più sofisticati, è ora diventata una fase abituale della catena di attacco. Disabilitare o aggirare la sicurezza degli endpoint non è più l'eccezione; è sempre più la normalità per i gruppi che conducono operazioni ransomware moderne.

Questo cambiamento è rilevante perché l'EDR è stato uno dei principali livelli difensivi in cui le organizzazioni investono per intercettare precocemente le intrusioni. Se disabilitare quel livello diventa una fase standard e ripetibile anziché una tecnica rara e su misura, si abbassa la barriera delle competenze per i gruppi meno sofisticati, che possono così ottenere lo stesso risultato degli operatori di alto livello. Significa anche che i tradizionali indicatori di compromissione, come l'attivazione di un allarme EDR, potrebbero semplicemente non apparire mai, lasciando i team di sicurezza con meno preavviso prima che i dati vengano rubati o i sistemi bloccati.

L'ironia sottolineata nel rapporto Halcyon è che tutto questo accade proprio mentre il numero grezzo di attacchi ransomware diminuisce. Meno incidenti non significano necessariamente meno rischi. Può voler dire che gli attacchi ancora in corso sono più mirati, meglio finanziati e più difficili da fermare una volta avviati, perché gli aggressori hanno adattato il proprio modus operandi specificamente per sconfiggere gli strumenti su cui i difensori fanno maggiore affidamento.

Perché questo è importante per la privacy, non solo per la sicurezza IT

È facile considerare le tecniche di 'EDR kill' come una questione puramente tecnica, di competenza dei reparti IT. Ma le conseguenze ricadono direttamente sulle persone comuni i cui dati risiedono all'interno delle organizzazioni prese di mira. Oggi gli attacchi ransomware raramente si limitano alla cifratura; i gruppi estraggono regolarmente i file sensibili e minacciano di diffonderli se il riscatto non viene pagato. Quando gli aggressori possono disabilitare gli strumenti di rilevamento e operare indisturbati più a lungo, hanno più tempo per individuare e copiare esattamente il tipo di dati che conta di più: registrazioni dei clienti, fascicoli dei dipendenti, documenti finanziari e informazioni aziendali proprietarie.

Il recente caso di Gentlemen Ransomware colpisce Soja de Portugal, che ha portato alla fuga di 491 GB di dati aziendali sensibili, è un chiaro esempio di come questi attacchi si traducano in una reale esposizione sia per gli individui che per le aziende. Che quell'incidente specifico abbia comportato o meno l'elusione dell'EDR, mostra la mole di dati che può essere sottratta una volta che gli aggressori ottengono un punto d'appoggio e riescono a operare con interferenze minime.

Cosa significa per te

Per la maggior parte dei lettori, questo non è un invito al panico, ma un promemoria che le certezze sulla sicurezza su cui molte organizzazioni si basano stanno cambiando. Se lavori nell'IT o nella sicurezza, i risultati di Halcyon sottolineano che l'EDR da solo non può più essere considerato un sistema di allarme precoce garantito; difese stratificate, monitoraggio della rete e piani di risposta rapida contano più che mai. Se sei un privato i cui dati personali sono custoditi da aziende, scuole, fornitori di servizi sanitari o piattaforme di servizi, questa tendenza ti ricorda che una violazione in una qualsiasi di queste organizzazioni potrebbe esporre le tue informazioni con meno preavviso rispetto al passato, poiché gli aggressori stanno diventando sempre più bravi a operare in silenzio.

Consigli pratici

Alcuni semplici accorgimenti possono aiutare, indipendentemente dal tuo ruolo:

  • Se gestisci infrastrutture di sicurezza, non affidarti esclusivamente agli allarmi EDR; combinali con il monitoraggio a livello di rete e con regolari esercitazioni pratiche che simulino la disattivazione degli strumenti di rilevamento.
  • Sostieni e promuovi politiche di sicurezza che includano backup offline, poiché i gruppi ransomware che riescono a disabilitare l'EDR spesso hanno più tempo anche per colpire i sistemi di backup.
  • Come privato, utilizza password uniche e attiva l'autenticazione a più fattori ovunque siano archiviati i tuoi dati, in modo che, anche se un'azienda di cui ti fidi subisce una violazione, gli altri tuoi account rimangano protetti.
  • Tieni d'occhio le notifiche di violazione da parte delle aziende con cui hai rapporti e agisci rapidamente su qualsiasi richiesta di modifica password o offerta di monitoraggio del credito.

Il ransomware potrebbe essere in calo come numeri assoluti, ma la crescente diffusione delle tecniche di 'EDR kill' fa sì che gli attacchi che riescono comportino maggiori rischi per i dati che toccano. Rimanere informati su come evolvono queste minacce è uno dei modi più semplici per restare un passo avanti.