Pagamenti di riscatto a livelli minimi record spingono le tattiche di estorsione verso il mondo fisico

I gruppi ransomware stanno avendo più difficoltà a farsi pagare. Nuovi report mostrano che la percentuale di vittime che accettano di pagare un riscatto è scesa al punto più basso mai registrato, una tendenza che sta rimodellando il modo in cui i gruppi criminali esercitano pressione sui loro bersagli. Invece di fare marcia indietro, alcuni dei maggiori pagamenti rimasti sono ora legati a un singolo gruppo che prende di mira in modo aggressivo il settore legale, e altri operatori sembrano compensare i tassi di pagamento più bassi passando dalla coercizione digitale a minacce che si riversano nel mondo fisico.

Questo cambiamento è importante per chiunque sia responsabile della protezione dei dati di un'organizzazione, perché significa che la vecchia logica della difesa dal ransomware (backup, patch, protezione degli endpoint) non è più l'unica parte della storia. L'estorsione sta diventando un problema umano tanto quanto tecnico.

Perché i tassi di pagamento dei riscatti stanno toccando minimi record

Per anni, i gruppi ransomware hanno potuto contare su una percentuale prevedibile di vittime che pagavano per recuperare i propri dati o per prevenire fughe di notizie. Questa matematica si sta rompendo. I tassi di pagamento sono ora scesi a un minimo record, secondo gli ultimi report, suggerendo che le organizzazioni sono sempre più disposte ad assorbire il dolore operativo di un attacco piuttosto che finanziare i criminali che ne sono responsabili.

Questo è in linea con cambiamenti più ampi nel panorama ransomware. Come trattato nell'analisi di vpn.social su come l'ecosistema ransomware si frammenta, il sottobosco criminale stesso si sta dividendo in dozzine di gruppi più piccoli e meno coordinati. La frammentazione rende più difficile per qualsiasi singolo operatore costruire il tipo di reputazione e leva negoziale che un tempo incoraggiava le vittime a pagare rapidamente. Allo stesso tempo, accordi di alto profilo come il pagamento di $18 milioni di 23andMe mostrano che le organizzazioni stanno sempre più incanalando denaro verso la risoluzione legale e normativa piuttosto che premiare direttamente gli aggressori.

È interessante notare che, anche se meno vittime pagano, i pagamenti che effettivamente avvengono possono essere enormi. Un rapporto separato di vpn.social sui pagamenti di riscatto del Q2 2026 ha rilevato che il pagamento medio è aumentato del 176% arrivando a $1,88 milioni in un singolo trimestre, anche mentre la percentuale complessiva di vittime che pagano è diminuita. Meno persone pagano, ma quelle che lo fanno pagano molto di più, spesso perché gli aggressori dietro quei casi applicano una pressione insolitamente intensa.

Come l'estorsione sta diventando fisica: minacce oltre la rete

Con meno vittime disposte a pagare semplicemente per evitare una fuga di dati, alcuni gruppi di estorsione sembrano alzare la posta oltre la rete stessa. Invece di fare affidamento esclusivamente su file criptati o sulla minaccia di pubblicare dati rubati, questi gruppi sembrano passare a forme più dirette di intimidazione rivolte alle persone collegate a un'organizzazione bersaglio, non solo ai suoi sistemi.

Questa è un'escalation significativa. Una negoziazione ransomware era solitamente, al suo nucleo, una decisione tecnica e finanziaria: ripristinare dal backup, pagare il riscatto o accettare la perdita di dati. Quando le minacce si spostano nel regno fisico, il processo decisionale passa ai team di sicurezza e legali dell'organizzazione, e potenzialmente alle forze dell'ordine, in modi che firewall e VPN non sono mai stati progettati per affrontare. È un promemoria che i gruppi di criminali informatici adattano le loro tattiche in base a ciò che funziona finanziariamente, e quando la leva digitale smette di produrre pagamenti, alcuni sono disposti a cercare altri punti di pressione.

L'esposizione sproporzionata del settore legale a pagamenti mirati

Mentre i tassi di pagamento complessivi stanno diminuendo, il report nota che una quota sproporzionata dei grandi pagamenti che ancora avvengono può essere ricondotta a un gruppo focalizzato specificamente sul settore legale. Gli studi legali sono bersagli attraenti per un motivo: detengono informazioni sensibili dei clienti, comunicazioni privilegiate e materiali di causa che possono essere devastanti a livello professionale e legale se esposti. Questa combinazione di alta posta in gioco e obblighi sensibili al fattore tempo può rendere le organizzazioni legali più propense a pagare, anche mentre la tendenza più ampia si muove nella direzione opposta.

Questa concentrazione illustra anche come il ransomware si sia allontanato dagli attacchi opportunistici "spara e prega" verso una presa di mira più deliberata di settori in cui il costo del dire no è particolarmente alto.

Cosa significa questo per te

Per la maggior parte degli individui, questa tendenza non si tradurrà in una minaccia diretta, ma sottolinea quanto le operazioni ransomware siano diventate più sofisticate e mirate. Se lavori in uno studio legale, un fornitore sanitario o qualsiasi organizzazione che detiene dati sensibili di clienti o pazienti, la logica del rischio è cambiata. Non si tratta più solo di sapere se i tuoi file verranno criptati; si tratta di chi potrebbe essere minacciato, contattato o intimidito come parte di un tentativo di estorsione.

Ridurre il rischio in un ambiente di minaccia ibrido cyber-fisico

Le difese tecniche contano ancora, ma non sono più sufficienti da sole. Le organizzazioni dovrebbero mantenere backup offline testati, applicare l'autenticazione multi-fattore e mantenere il software aggiornato. Altrettanto importante ora è avere un chiaro piano di risposta agli incidenti che tenga conto delle minacce a dipendenti, dirigenti o clienti, non solo ai server. Come vpn.social ha riportato in precedenza, le tattiche di doppia estorsione avevano già dimostrato che i backup non bastano a garantire la sicurezza una volta che i dati sono stati rubati; l'emergere di tattiche di intimidazione fisica estende questa lezione ancora più in là. I dipendenti dovrebbero essere formati per riconoscere e segnalare contatti sospetti, e i team legali e di sicurezza dovrebbero coordinarsi in anticipo su come gestire minacce che vanno oltre una nota di riscatto.

Punti chiave

  • I tassi di pagamento dei riscatti sono scesi a un minimo record, riducendo l'incentivo finanziario per attacchi opportunistici.
  • Alcuni gruppi stanno compensando passando a minacce fisiche, una tattica che VPN e strumenti endpoint non possono affrontare da soli.
  • Il settore legale rimane sproporzionatamente esposto a grandi pagamenti mirati.
  • Backup robusti e sicurezza di rete rimangono essenziali, ma le organizzazioni hanno anche bisogno di piani di risposta agli incidenti che tengano conto della coercizione rivolta alle persone, non solo ai dati.

Mentre l'economia del ransomware cambia, rimanere informati su come si evolvono le tattiche di estorsione è uno dei passi più pratici che qualsiasi organizzazione possa compiere per prepararsi.