Un divario crescente tra pagamenti medi e mediani dei riscatti

Un nuovo rapporto sulle tendenze dei pagamenti ransomware per il Q2 2026 rivela una sorprendente contraddizione nei numeri. Secondo i dati pubblicati da Coveware di Veeam, il pagamento medio del riscatto è balzato del 176% trimestre su trimestre, raggiungendo 1.880.612 dollari. Allo stesso tempo, il pagamento mediano, che riflette ciò che paga davvero una vittima tipo, si è dimezzato, scendendo a 150.000 dollari.

Questa divergenza conta più di ciascun numero preso singolarmente. Quando la media sale bruscamente mentre la mediana scende, di solito indica che un piccolo numero di valori anomali estremi sta distorcendo il quadro complessivo. Secondo il rapporto, è esattamente ciò che è accaduto: una manciata di pagamenti insolitamente elevati, o "lumpy", legati a casi di estorsione con dati rubati ha spinto la media molto più in alto, anche se la maggior parte delle vittime ha pagato molto meno rispetto ai trimestri precedenti.

Per chiunque segua le tendenze dei pagamenti ransomware, questo andamento ricorda che le medie da titolo possono essere fuorvianti. L'organizzazione tipo colpita da ransomware nel Q2 2026 negoziava fino a cifre molto più basse di quanto suggerisca la media eclatante, ma un piccolo sottoinsieme di vittime, probabilmente organizzazioni più grandi o quelle esposte a fughe di dati particolarmente dannose, ha pagato molto di più.

Perché l'esfiltrazione dei dati sta determinando i riscatti più elevati

Il rapporto indica l'esfiltrazione dei dati come il principale motore dei pagamenti più ingenti e dirompenti del trimestre. Invece di affidarsi soltanto alla cifratura dei file e alla richiesta di un riscatto per la chiave di decrittazione, molti operatori ransomware oggi rubano dati sensibili prima di attivare la cifratura, per poi minacciare di divulgarli o venderli se la vittima rifiuta di pagare.

Questo modello a doppia minaccia, cifrare ed esfiltrare, offre agli aggressori una leva maggiore. Anche se una vittima dispone di backup solidi e può ripristinare i sistemi cifrati senza pagare, la minaccia di una fuga pubblica di dati crea un punto di pressione separato, spesso più urgente. L'esposizione normativa, gli obblighi di notifica ai clienti e il danno reputazionale entrano tutti nel calcolo della vittima quando i dati rubati sono sul tavolo, ed è proprio questo che sembra aver fatto lievitare alcuni pagamenti del Q2 2026 fino a cifre a sette zeri.

Questo si inserisce in uno schema più ampio già documentato da altre analisi recenti. Come illustrato in Ransomware 2026: più bande, più vittime, nessun rallentamento, l'ecosistema ransomware è diventato più frammentato, con un numero crescente di operatori più piccoli in competizione per le vittime, anziché poche gang dominanti a controllare il campo. Questa frammentazione, unita a un rapporto separato che mostra vittime raddoppiate ed estorsioni in aumento nel Q2 2026, suggerisce che gli aggressori stanno gettando una rete più ampia, riservando però le tattiche più aggressive, basate sul furto di dati, agli obiettivi per cui il guadagno può essere massimizzato.

Cosa significa per te

Se gestisci un'azienda, amministri l'IT di un'organizzazione o vuoi semplicemente capire come le tendenze dei pagamenti ransomware influiscano sul tuo rischio, alcuni aspetti emersi dai dati del Q2 2026 meritano attenzione.

In primo luogo, la diminuzione del pagamento mediano a 150.000 dollari suggerisce che per la maggior parte delle organizzazioni le richieste di riscatto (e ciò che le vittime pagano effettivamente) potrebbero essere in calo, non in aumento. È un segnale moderatamente incoraggiante, e riflette probabilmente migliori pratiche di backup, risposta agli incidenti più rapida e una crescente disponibilità delle vittime a rifiutare il pagamento quando la sola minaccia è la cifratura.

In secondo luogo, l'impennata del pagamento medio è un avvertimento su ciò che accade quando è coinvolta l'esfiltrazione dei dati. Se gli aggressori possono dimostrare di aver rubato dati sensibili di clienti, dati finanziari o proprietà intellettuale, la pressione a pagare aumenta notevolmente, indipendentemente dalla possibilità di ripristinare i sistemi cifrati dai backup. Ciò significa che la strategia di protezione dei dati non può più concentrarsi solo sul ripristino. Prevenire l'accesso non autorizzato ai dati e monitorare trasferimenti anomali di dati in uscita conta tanto quanto mantenere backup puliti.

In terzo luogo, per i singoli individui, questa tendenza ricorda che un attacco ransomware ai danni di un'azienda con cui fai affari – un ospedale, un rivenditore, un fornitore di servizi – comporta un rischio per la privacy anche se non interagisci mai direttamente con gli aggressori. Quando i dati esfiltrati diventano la leva, le tue informazioni personali conservate da quell'organizzazione fanno parte di ciò che viene tenuto in ostaggio.

Consigli pratici

Le organizzazioni dovrebbero dare priorità al rilevamento dei tentativi di esfiltrazione dei dati, non solo alla cifratura ransomware, poiché è sempre più da lì che deriva la maggiore leva estorsiva. Rivedere i controlli di accesso ai dati, segmentare le informazioni sensibili e monitorare trasferimenti di dati insoliti o di grandi dimensioni può ridurre l'esposizione a quei pagamenti "lumpy" di valore elevato che hanno spinto al rialzo la media del Q2 2026.

Per gli individui, il consiglio è di prestare attenzione alle notifiche di violazione provenienti dalle aziende con cui interagisci, perché l'estorsione basata sull'esfiltrazione significa che i tuoi dati potrebbero essere esposti anche quando un attacco ransomware non fa notizia solo per la cifratura. Tenere d'occhio le tendenze dei pagamenti ransomware non è solo una questione informatica; è sempre più un problema di privacy personale che merita attenzione.