Le gang ransomware saltano l'ufficio del dirigente d'angolo

Per anni, la formazione sulla consapevolezza della sicurezza si è concentrata sulla protezione del CEO, del CFO e di altri dirigenti di alto livello da attacchi mirati. Nuove ricerche suggeriscono che gli operatori ransomware sono passati oltre. Secondo i dati del team ThreatLabz di Zscaler, gli aggressori prendono sempre più di mira i manager IT e aziendali di livello intermedio, con un'età media delle vittime di 46 anni, anziché concentrare i loro sforzi sui dirigenti di vertice.

I risultati provengono dall'analisi di un'unica campagna ransomware che ha esaminato 351 vittime. Di quel gruppo, il 62% ricopriva ruoli di livello manageriale o superiore, in particolare ruoli con autorità sui pagamenti e sulle decisioni finanziarie. Questo dettaglio è importante. Il ransomware funziona come modello di business solo se qualcuno con il potere di approvare un pagamento sente una pressione sufficiente a farlo. Gli aggressori sembrano aver concluso che un manager di medio livello che controlla le approvazioni di budget, i contratti con i fornitori o l'infrastruttura IT è spesso un percorso più rapido per ottenere un riscatto rispetto al tentativo di raggiungere un CEO che potrebbe essere distante diversi livelli dalle decisioni di pagamento quotidiane.

Perché i manager IT sono il bersaglio perfetto

Lo spostamento verso i manager di livello intermedio riflette un cambiamento nel modo in cui gli aggressori pianificano le loro operazioni. Invece di inviare email di phishing generiche sperando che qualcuna abbia successo, i dati di ThreatLabz indicano che queste campagne comportano una mappatura anticipata della struttura di un'organizzazione. Gli aggressori identificano chi occupa ciascuna posizione nell'organigramma, chi ha l'autorità di pagamento e chi ha un accesso tecnico sufficiente per causare danni reali se compromesso. Questa raccolta di informazioni consente loro di creare approcci di ingegneria sociale personalizzati rivolti a un tipo di dipendente molto specifico: qualcuno abbastanza senior da contare, ma non così senior da essere circondato da strati di assistenti e protocolli di sicurezza.

Questo approccio è in linea con una tendenza più ampia trattata in un report correlato su una campagna ransomware che prendeva di mira i manager in due terzi dei casi, che ha analogamente rilevato che i quadri intermedi, non i dirigenti, costituivano la maggior parte delle vittime in un incidente separato. Insieme, questi rapporti indicano una strategia deliberata piuttosto che una coincidenza. I manager IT e i capi dipartimento hanno spesso esattamente il mix di accesso e autorità che gli operatori ransomware desiderano: credenziali amministrative, conoscenza dei sistemi di backup e la capacità di autorizzare un pagamento senza necessitare dell'approvazione dell'intero team di leadership.

L'aspetto della privacy che la maggior parte dei resoconti trascura

Ciò che rende questo cambiamento degno di nota dal punto di vista della privacy è quanto del targeting dipenda da informazioni pubblicamente disponibili. Costruire un organigramma accurato, identificare i titoli di lavoro e capire chi controlla i pagamenti generalmente richiede agli aggressori di estrarre dati da siti di networking professionale, directory aziendali, comunicati stampa e, talvolta, servizi di broker di dati. Più è dettagliato il profilo pubblico di un dipendente, più diventa facile per un aggressore creare un pretesto convincente.

È anche qui che il ransomware si sovrappone al crescente mercato degli accessi aziendali rubati. Parte della stessa intelligence organizzativa utilizzata per pianificare un messaggio di phishing mirato può provenire da credenziali violate o accessi venduti nei forum criminali, una dinamica esplorata in un report su un hacker russo che vendeva accessi aziendali rubati mentre spiava l'Ucraina. Una volta che un aggressore ha un punto d'appoggio o un profilo dettagliato del dipendente, personalizzare un'esca ransomware per un manager specifico diventa molto più facile di quanto non fosse ai tempi delle campagne di phishing di massa.

Cosa significa questo per te

Se lavori nella gestione IT, nelle operazioni o in qualsiasi ruolo con autorità di pagamento o di accesso ai sistemi, questa ricerca suggerisce che potresti essere un bersaglio più attraente di quanto pensassi in precedenza. Alcuni passi pratici possono ridurre la tua esposizione:

  • Rivedi ciò che il tuo datore di lavoro, il profilo LinkedIn o la biografia professionale rivelano sulle tue responsabilità specifiche e sul tuo livello di accesso.
  • Tratta con maggiore scrupolo i messaggi inaspettati che fanno riferimento alla tua funzione lavorativa, all'autorità di budget o ai sistemi interni, anche se sembrano provenire da un contatto o fornitore noto.
  • Conferma qualsiasi richiesta di pagamento o di modifica del sistema attraverso un canale verificato separato prima di agire, a prescindere dall'urgenza apparente del messaggio.
  • Spingi per una pianificazione aziendale dei backup e della risposta agli incidenti, invece di presumere che gli aggressori punteranno sempre alla suite dirigenziale. Il manuale del ransomware a doppia estorsione ormai comune nel 2026 significa che i backup da soli non sono più una rete di sicurezza garantita.

Il punto fondamentale

Gli operatori ransomware stanno perfezionando il loro targeting allo stesso modo dei marketer legittimi: identificando chi ha effettivamente il potere decisionale e raggiungendolo direttamente. I risultati di Zscaler ThreatLabz chiariscono che i manager IT e aziendali di livello intermedio, non solo i dirigenti, si trovano ora esattamente nel mirino. Le organizzazioni più piccole senza team di sicurezza dedicati corrono un rischio particolare, motivo per cui risorse come la guida al ransomware del 2026 pensata per le piccole e medie imprese meritano di essere esaminate indipendentemente dalle dimensioni o dalla posizione dell'azienda.

Il messaggio non è di farsi prendere dal panico, ma di riconoscere che il titolo di lavoro e il livello di accesso funzionano ora come una sorta di profilo bersaglio. Ridurre la propria impronta pubblica, verificare le richieste insolite e spingere per una più forte pianificazione della risposta organizzativa sono passi pratici e realizzabili che qualsiasi manager può iniziare a compiere oggi.