Una nuova classifica ransomware per il Q2 2026

Il ransomware non ha rallentato, ha solo rimescolato il suo cast di personaggi. Un nuovo rapporto della società di threat intelligence Brandefense identifica i primi cinque gruppi ransomware che dominano il Q2 2026: Qilin, TheGentlemen, Akira, DragonForce e LockBit5. L'analisi, costruita sul monitoraggio CTI (cyber threat intelligence) di Brandefense, fornisce ai team di sicurezza e agli utenti comuni un'istantanea di quali gruppi sono attualmente più attivi e, di conseguenza, quali organizzazioni e individui hanno maggiori probabilità di subirne le conseguenze.

Anche se i nomi di questa lista suoneranno familiari a chiunque segua le notizie sul ransomware negli ultimi anni, la loro persistenza dice qualcosa di importante: i takedown e la pressione delle forze dell'ordine raramente eliminano del tutto queste operazioni. Invece, i marchi vengono ricostruiti, gli affiliati migrano verso nuove piattaforme e il modello ransomware-as-a-service (RaaS) continua a sfornare nuove campagne sotto nomi vecchi o rinominati, LockBit5 ne è un chiaro esempio di franchise che continua a riemergere nonostante i precedenti tentativi di disruption.

I cinque gruppi dietro i numeri

Ciascuno dei cinque gruppi monitorati da Brandefense opera con la propria rete di affiliati, preferenze di bersaglio e stile di negoziazione, ma condividono il copione più ampio che è arrivato a definire il ransomware moderno: ottenere accesso, esfiltrare dati, cifrare i sistemi e fare pressione sulle vittime affinché paghino prima che le informazioni vengano divulgate o le operazioni si fermino.

È qui che le implicazioni per la privacy diventano impossibili da ignorare. Il ransomware oggi è raramente solo file bloccati. I gruppi fanno sempre più affidamento sul furto di dati come leva, e alcuni si sono spinti ancora oltre in quella che è nota come tripla estorsione, aggiungendo ulteriori tattiche di pressione come contattare direttamente i clienti o i partner di una vittima. Se vuoi uno sguardo più approfondito su come questa escalation funzioni nella pratica, la nostra precedente copertura del ransomware a tripla estorsione spiega esattamente come gli attaccanti usano i dati rubati come arma oltre una semplice richiesta di riscatto.

Non tutti i gruppi seguono la stessa formula, però. Alcune campagne sono tornate ad approcci di sola cifratura senza alcuna componente di furto di dati, una variazione trattata nel nostro report sul ritorno di Jadepuffer al ransomware solo cifratura. La diversità tra i cinque gruppi principali nei risultati del Q2 2026 di Brandefense riflette questa stessa realtà: non esiste più un unico modello di ransomware, solo un toolkit condiviso che diversi operatori mescolano e abbinano.

Perché la privacy è il vero campo di battaglia

Il filo conduttore trasversale a quasi tutte le operazioni ransomware di alto livello in questo momento è l'accesso iniziale. Gli attaccanti raramente hanno bisogno di scrivere exploit innovativi quando bastano credenziali rubate. Le recenti analisi del settore hanno indicato che i login compromessi stanno superando le vulnerabilità software come punto di ingresso preferito del ransomware, un cambiamento che abbiamo dettagliato nella nostra copertura dei risultati di Sophos sui login compromessi. Insieme a questa tendenza, il malware infostealer è diventato una catena di approvvigionamento silenziosa ma critica per gli attaccanti, raccogliendo credenziali di accesso in massa che poi compaiono proprio nelle intrusioni portate avanti da questi gruppi ransomware. Il nostro articolo su i log degli infostealer che superano il phishing come principale causa di violazione spiega come funziona questa pipeline.

Questo è importante per la privacy perché ridefinisce il ransomware fondamentalmente come un problema di credenziali e protezione dei dati, non solo di sicurezza degli endpoint. Ogni password riutilizzata tra account, ogni token di sessione lasciato esposto su un dispositivo infetto, diventa un potenziale punto d'appoggio per gruppi come Qilin, Akira o DragonForce da sfruttare. Le vittime non sono limitate solo alle grandi aziende; quando i gruppi ransomware esfiltrano i dati prima di cifrarli, le informazioni personali di dipendenti, clienti e pazienti finiscono spesso per far parte della leva, indipendentemente dal fatto che il riscatto venga pagato.

Cosa significa questo per te

La maggior parte dei lettori non difenderà direttamente una rete aziendale da LockBit5 o TheGentlemen, ma gli effetti a catena raggiungono tutti. Se un'azienda con cui fai affari viene colpita da uno di questi gruppi, i tuoi dati personali, dalle credenziali dell'account ai dettagli finanziari, potrebbero essere esposti o divulgati come parte del processo di estorsione. Alcune vittime, come visto in incidenti passati come il rifiuto di Stadler Rail di pagare un riscatto, scelgono di non pagare, il che significa che i dati rubati possono finire pubblicati indipendentemente dall'esito.

L'insegnamento pratico è che la difesa dal ransomware inizia sempre più con l'igiene di base delle credenziali, sia per le organizzazioni che per gli individui. Password uniche e robuste, autenticazione a più fattori e vigilanza contro il malware infostealer (spesso distribuito tramite software piratato o download dannosi) riducono le probabilità di diventare un punto d'ingresso per questi gruppi.

Consigli pratici

  • Parti dal presupposto che qualsiasi account riutilizzato su più servizi sia una passività; le bande di ransomware comprano o raccolgono sempre più credenziali invece di entrare con l'hacking.
  • Abilita l'autenticazione a più fattori ovunque sia offerta, poiché i login compromessi rimangono il principale punto d'ingresso per questi attacchi.
  • Fai attenzione alle notifiche di violazione da qualsiasi organizzazione con cui interagisci, e prendile sul serio dato quanto spesso i dati rubati diventano parte di una negoziazione ransomware.
  • Rimani informato su quali gruppi ransomware sono attualmente attivi, poiché conoscere il panorama aiuta sia le organizzazioni che gli individui ad anticipare il rischio invece di reagire a posteriori.

Il panorama ransomware del Q2 2026, come mappato da Brandefense, conferma che questa minaccia non sta scomparendo, si sta evolvendo. Rimanere un passo avanti significa prestare attenzione a come operano questi gruppi, non solo ai loro nomi.