Le vittime di ransomware continuano a salire e il ritmo accelera

Il ransomware non rallenta. Secondo i nuovi dati riportati da The National CIO Review, tra aprile 2025 e marzo 2026 sono state registrate 7.551 vittime di ransomware divulgate pubblicamente, con un balzo del 24,9% rispetto all'anno precedente. Già questo sarebbe degno di nota, ma il dettaglio più significativo è dove si è verificata la crescita: l'aumento non è stato distribuito uniformemente nel corso dell'anno. Si è concentrato nella seconda metà, quando la media mensile delle vittime è quasi raddoppiata, passando da 484 a 775.

Questo tipo di accelerazione conta più del totale annuo. Una crescita costante suggerisce un problema persistente al quale le organizzazioni si stanno adattando gradualmente. Un picco improvviso a metà anno suggerisce che qualcosa è cambiato: che siano entrati in campo più gruppi ransomware, che i gruppi esistenti abbiano intensificato le operazioni o che le vittime vengano semplicemente rese pubbliche più rapidamente con l'evolversi delle tattiche di estorsione.

Perché l'impennata della seconda metà è il dato più importante

Le moderne operazioni ransomware si affidano sempre più alla "doppia estorsione", in cui gli aggressori non solo cifrano i sistemi della vittima, ma rubano anche i dati e minacciano di divulgarli pubblicamente se il riscatto non viene pagato. Spesso è proprio la minaccia di esposizione a far finire un'organizzazione in un elenco pubblico di vittime, poiché i gruppi ransomware mantengono frequentemente siti di leak specificamente per fare pressione sui bersagli affinché paghino.

Questa dinamica si è ripetuta più volte in tutti i settori. Imprese edili e di ingegneria, enti pubblici, compagnie aeree e rivenditori si sono tutti ritrovati citati nei siti di leak dei ransomware dopo che gli aggressori avevano dichiarato di aver sottratto dati sensibili. Ad esempio, l'attacco rivendicato dal gruppo ransomware Play contro Kreysler & Associates ha seguito esattamente questo schema: una minaccia di leak usata come leva, con la vittima nominata pubblicamente prima che la richiesta di riscatto venisse risolta. Allo stesso modo, un'unica operazione ransomware è stata collegata a violazioni presso ANC sudafricano, SAA e Pick n Pay, a dimostrazione di come un singolo gruppo possa accumulare un'ampia gamma di vittime di alto profilo in settori scollegati tra loro in un breve lasso di tempo.

Il numero crescente di gruppi ransomware attivi citato nel report del National CIO Review si inserisce in questo schema. Più gruppi operano contemporaneamente, più siti di leak, più vittime dichiarate e più campagne di pressione in parallelo, il che aiuta a spiegare perché il numero mensile di vittime sia quasi raddoppiato invece di crescere gradualmente.

Le ricadute sulla privacy per gli utenti comuni

Sebbene i titoli sul ransomware tendano a concentrarsi sulle organizzazioni colpite, le conseguenze per la privacy ricadono sulle persone i cui dati sono detenuti da tali organizzazioni. Quando un gruppo ransomware ruba i dati prima di cifrare una rete, i dati sottratti spesso includono dati dei clienti, informazioni sui dipendenti, dettagli finanziari o dati sanitari, a seconda del settore della vittima. Anche se un'azienda si rifiuta di pagare e ripristina i sistemi dai backup, i dati rubati possono comunque finire pubblicati o venduti se gli aggressori danno seguito alle loro minacce di leak.

È per questo che l'aumento del numero di vittime non è solo un problema informatico aziendale. Ogni nuovo nome aggiunto a un sito di leak rappresenta potenzialmente migliaia di persone le cui informazioni personali sono ora a rischio di esposizione, furto d'identità o phishing mirato. La portata documentata in questo rapporto, con il numero di vittime passato da una media di 484 a 775 al mese, si traduce in un bacino significativamente più ampio di persone che potrebbero doversi preoccupare che i propri dati circolino al di fuori del loro controllo.

Cosa significa per te

Non è necessario gestire una rete aziendale per essere colpiti da questa tendenza. Se sei cliente, dipendente o paziente di una qualsiasi organizzazione, i tuoi dati potrebbero essere coinvolti in una violazione che non hai contribuito a causare. Alcuni accorgimenti pratici possono ridurre la tua esposizione:

  • Parti dal presupposto che qualsiasi account legato a un'organizzazione con cui interagisci possa prima o poi essere coinvolto in una violazione e usa password univoche per ogni servizio, in modo che un singolo leak non si propaghi agli altri.
  • Attiva l'autenticazione a più fattori ovunque sia disponibile, poiché le credenziali rubate sono molto meno utili agli aggressori se è richiesto un secondo passaggio di verifica.
  • Monitora le email di notifica delle aziende con cui hai rapporti e prendi sul serio gli avvisi di violazione invece di considerarli ordinaria amministrazione.
  • Valuta un blocco del credito o un avviso di frode se vieni informato che i tuoi dati sono stati coinvolti in un incidente ransomware, in particolare se sono incluse informazioni finanziarie o d'identità.

In conclusione

L'aumento delle vittime di ransomware divulgate pubblicamente, e in particolare la forte accelerazione nella seconda metà del periodo di riferimento, segnala che il crimine informatico basato sull'estorsione sta diventando più organizzato e più frequente invece di stabilizzarsi. Per le organizzazioni, questo significa una rinnovata pressione per rafforzare le difese e i piani di risposta agli incidenti. Per i singoli, è un promemoria del fatto che la protezione dei dati non è più solo una responsabilità aziendale, ma condivisa. Tenersi informati su quali settori vengono presi di mira e adottare un'igiene di base degli account resta uno dei modi più efficaci per limitare i danni personali quando il prossimo gruppo di vittime di ransomware finirà sulle prime pagine.