Le rivendicazioni sui siti di leak ransomware sono aumentate del 30% nel terzo trimestre 2026, secondo quanto riportato da Cybersecurity News. L'aumento è stato determinato in larga misura da 43 nuovi gruppi e, avvertono i ricercatori, da potenziali segnalazioni false di vittime. Questa guida che spiega le rivendicazioni sui siti di leak ransomware analizza cosa i numeri dicono e non dicono, e cosa fare se un'azienda da cui dipendete compare in un elenco.

L'articolo di origine è povero di dettagli, quindi questo post si attiene a quanto riportato e si concentra su un ragionamento pratico che potete applicare voi stessi.

Cosa mostra l'impennata del 30% nelle rivendicazioni sui siti di leak

Un sito di leak è un sito web, spesso sulla rete Tor, dove gli operatori ransomware nominano le vittime e minacciano di pubblicare i dati rubati se non viene pagato un riscatto. Ogni inserzione è una rivendicazione fatta dagli attaccanti, non un incidente confermato.

Secondo il rapporto, le rivendicazioni sono aumentate del 30% nel terzo trimestre del 2026. Sono stati evidenziati due fattori: 43 nuovi gruppi entrati in scena, e la possibilità che alcune segnalazioni di vittime non siano autentiche.

Questa combinazione è importante. Un balzo nelle inserzioni può significare più attacchi reali, ma può anche riflettere più attori che competono per l'attenzione. I nuovi gruppi hanno un incentivo ad apparire attivi e pericolosi, e un elenco più lungo di vittime è un modo facile per farlo. Quindi la cifra del 30% va letta preferibilmente come una misura delle rivendicazioni, non come un conteggio verificato delle violazioni.

Per un contesto su come le grandi operazioni costruiscono e pubblicizzano i loro conteggi delle vittime, la nostra copertura di LockBit 3.0 e le sue 2.000 presunte vittime in 95 paesi mostra perché questi conteggi ricevono così tanta attenzione.

Perché alcune inserzioni di vittime ransomware potrebbero essere false

I ricercatori citati nell'articolo avvertono che alcune inserzioni potrebbero essere fabbricate. La fonte non dettaglia i metodi, quindi non possiamo dire quanto siano comuni le voci false. Ma gli incentivi sono facili da comprendere:

  • Costruzione della reputazione. Un nuovo gruppo con poche vittime reali può gonfiare il proprio elenco per apparire credibile.
  • Pressione sugli obiettivi. Nominare pubblicamente un'azienda può spingerla verso la negoziazione, anche se gli attaccanti hanno poco o nulla.
  • Dati riciclati o esagerati. Gli attaccanti possono rivendicare una nuova violazione usando informazioni già pubbliche o rubate altrove.

Queste sono possibilità generali, non conclusioni del rapporto. Il punto chiave è che un nome su un sito di leak è un punto di partenza per delle domande, non una prova di compromissione.

Come valutare se una rivendicazione di violazione è credibile

Non serve strumenti specialistici per soppesare sensatamente una rivendicazione. Cercate i segnali che spostano una rivendicazione da non verificata a credibile:

  1. Conferma da parte dell'azienda. Una notifica di violazione, un deposito regolatorio o un'email ai clienti è il segnale più forte.
  2. Reportage indipendente. Cercate la copertura di testate di sicurezza affermate che hanno esaminato le prove invece di ripetere l'inserzione.
  3. Prove verificabili. Dati campione che corrispondono a record reali hanno più peso di un semplice nome aziendale.
  4. Il track record del gruppo. Un gruppo con una storia di rivendicazioni accurate è trattato diversamente da uno appena nato. Con 43 nuovi gruppi nel trimestre, molti hanno poca storia da valutare.
  5. Coerenza nel tempo. Gli incidenti genuini tendono a produrre seguiti: interruzioni del servizio, dichiarazioni o dati pubblicati.

Nessun singolo segnale risolve la questione. Trattate l'assenza di conferma come incertezza, non come sicurezza.

Cosa fare se un servizio che usate è nell'elenco

Che la rivendicazione sia reale o no, la risposta è in gran parte la stessa, e a basso costo:

  • Cambiate la password su quel servizio, e ovunque l'abbiate riutilizzata.
  • Attivate l'autenticazione a due fattori usando un'app di autenticazione o una chiave di sicurezza quando possibile.
  • Fate attenzione al phishing. I dettagli di contatto rubati sono spesso usati per email o messaggi truffaldini convincenti che citano l'azienda reale.
  • Controllate i canali ufficiali dell'azienda per le dichiarazioni invece di affidarvi a post sui forum o voci sui social media.
  • Usate il monitoraggio delle violazioni per essere avvisati se il vostro indirizzo email compare in dati esposti.
  • Rivedete l'attività dell'account e gli estratti conto per qualsiasi cosa insolita.

Cosa significa per voi

La maggior parte delle persone non vedrà mai direttamente un sito di leak, ma le rivendicazioni emergono spesso attraverso titoli e post sui social. Un aumento del 30% nelle inserzioni non significa che il vostro rischio personale sia aumentato del 30%. Significa che c'è più rumore, e parte di esso potrebbe essere falso.

La risposta sana non è né il panico né la sottovalutazione. Trattate una rivendicazione come uno stimolo a rafforzare i vostri account. Se si rivela falsa, non avete perso nulla e avete migliorato la vostra sicurezza. Se si rivela reale, siete già in vantaggio rispetto alle conseguenze.

Punti chiave

Comprendere le rivendicazioni sui siti di leak ransomware spiegate in termini semplici si riduce a un'idea: un'inserzione è un'accusa da parte di criminali, e merita scrutinio. Usate password uniche, abilitate l'autenticazione a due fattori e iscrivetevi al monitoraggio delle violazioni, che una rivendicazione venga mai verificata o meno. Per ulteriori informazioni su come funzionano le grandi operazioni ransomware e perché i loro conteggi delle vittime contano, leggete il nostro articolo su LockBit 3.0 ransomware.