Il phishing è ora responsabile della metà di tutti gli attacchi ransomware

Gli attacchi all'identità superano gli exploit come principale causa del ransomware

Per anni, le bande ransomware erano note soprattutto per sfruttare software non aggiornato, il tipo di vulnerabilità che costringe i team IT a correre per applicare gli aggiornamenti di sicurezza. Non è più questo il principale punto di ingresso di questi attacchi. Secondo nuovi risultati riportati da Dark Reading, il phishing e le email malevole rappresentano oggi la metà di tutti gli attacchi ransomware, superando ufficialmente le vulnerabilità software come vettore di ingresso principale.

Ancora più degno di nota: l'autenticazione a più fattori (MFA), a lungo considerata una delle difese più solide contro il furto di credenziali, era già presente nel 97% degli attacchi basati su credenziali analizzati. In altre parole, gli aggressori non hanno successo perché le organizzazioni hanno trascurato le basilari pratiche di sicurezza. Riescono perché hanno trovato il modo di aggirarle.

Questo cambiamento è importante perché modifica la reale posizione del rischio. Applicare patch ai server e chiudere falle software resta fondamentale, ma i dati suggeriscono che gli aggressori hanno spostato le loro energie verso l'inganno delle persone piuttosto che verso la forzatura del codice. Un'email convincente, una falsa pagina di accesso o una telefonata in un momento opportuno possono oggi fare ciò che un tempo faceva un exploit zero-day.

Perché la MFA da sola non ferma gli aggressori

Per anni la MFA è stata proposta come una salvaguardia quasi infallibile contro il furto di credenziali. L'idea è semplice: anche se una password viene rubata, l'aggressore ha bisogno di un secondo fattore, come un codice inviato al telefono o generato da un'app di autenticazione, per accedere. Questa logica regge contro i classici attacchi di indovinamento delle password. Molto meno contro i moderni kit di phishing.

Gli aggressori si sono adattati con tecniche progettate appositamente per sconfiggere la MFA. I proxy di phishing in tempo reale possono intercettare sia la password sia il codice usa e getta nel momento in cui la vittima li inserisce, per poi inoltrare le informazioni al sistema di accesso reale prima che il codice scada. Altri metodi prendono di mira direttamente i token di sessione, consentendo agli aggressori di dirottare una sessione già autenticata senza mai aver bisogno del secondo fattore. Il fatto che la MFA fosse presente nel 97% degli attacchi ransomware basati su credenziali in questo insieme di dati dimostra che averla attivata non è più sufficiente, da sola. Contano sia le modalità di implementazione, sia la sua capacità di resistere specificamente al phishing.

Ciò non significa che la MFA sia inutile. Blocca ancora un'enorme quantità di attacchi automatizzati e a basso sforzo. Ma le organizzazioni e le persone che vi fanno affidamento come a un'unica panacea operano con un modello di minacce ormai superato.

Come si confronta con il quadro più ampio delle violazioni

Questa tendenza specifica del ransomware si affianca a un cambiamento correlato ma distinto, documentato altrove nel settore. Come illustrato nell'analisi di vpn.social sul Rapporto Verizon 2026 sulle indagini sulle violazioni dei dati, le falle software hanno superato le password deboli o rubate diventando il principale punto di ingresso per le violazioni in senso lato. A prima vista, sembra contraddire i risultati sul ransomware, ma i due insiemi di dati misurano cose diverse. Il DBIR esamina le violazioni in tutte le categorie e i settori, mentre questa ricerca sul ransomware si concentra specificamente sul modo in cui gli operatori ransomware ottengono il loro punto di appoggio iniziale.

Nell'insieme, il quadro che emerge è quello di una specializzazione. Alcuni aggressori stanno affinando lo sfruttamento automatizzato su larga scala delle vulnerabilità software, mentre i gruppi ransomware in particolare stanno raddoppiando l'ingegneria sociale mirata alle persone, probabilmente perché offre un percorso più rapido e affidabile verso quel tipo di accesso privilegiato necessario per distribuire il ransomware attraverso una rete. Entrambe le tendenze possono essere vere contemporaneamente, ed entrambe indicano la stessa realtà di fondo: gli aggressori vanno dove incontrano il percorso di minor resistenza, e quel percorso cambia continuamente.

Che cosa significa per te

Se usi la posta elettronica in qualsiasi forma, per lavoro o per account personali, questa tendenza ti riguarda direttamente. Il ransomware non prende di mira solo le grandi aziende con reparti IT dedicati; piccole imprese, operatori sanitari, scuole e singoli professionisti sono regolarmente presi di mira con le stesse tattiche di phishing. Un'unica email convincente aperta nel momento sbagliato può costituire il punto di ingresso per un attacco che cifra i file di un'intera organizzazione.

Il messaggio pratico non è di abbandonare la MFA. È riconoscere che la MFA è uno strato di una difesa più ampia, non un traguardo finale. Metodi di autenticazione resistenti al phishing, un attento esame delle richieste di accesso impreviste e un sano scetticismo verso le email che trasmettono urgenza restano tutti essenziali, anche per gli account già protetti dalla MFA.

Spunti pratici

• Considera le richieste MFA che non hai richiesto come un segnale di allarme, non come una notifica di routine, e non approvare mai quella che non hai avviato tu.
• Dove possibile, utilizza metodi di autenticazione resistenti al phishing, come le chiavi di sicurezza hardware, anziché basarti solo su codici SMS o app.
• Diffida dell'urgenza nelle email che invitano a fare login, reimpostare una password o verificare un account: sono classiche tattiche di ingresso del ransomware.
• Continua ad applicare le patch software anche se gli attacchi all'identità sono oggi la causa principale del ransomware; gli attacchi basati sugli exploit non sono scomparsi, sono solo stati superati in frequenza.
• Se gestisci un team o un'organizzazione, investi nella formazione alla consapevolezza del phishing insieme alle difese tecniche, poiché i dati mostrano che le persone, e non solo i sistemi, sono ormai il bersaglio principale.

Mentre le tattiche ransomware continuano a spostarsi verso l'identità e l'ingegneria sociale, mantenersi informati su come questi attacchi si svolgono realmente è una delle difese più efficaci a disposizione. Capire dove si trova oggi il rischio reale è il primo passo per colmare quella falla prima che gli aggressori possano sfruttarla.