Ventuno giorni prima
Per raccontare come funziona un attacco useremo un’azienda che non esiste: una manifattura di duecento dipendenti, con un gestionale, un server di file condivisi, un backup su NAS e uno su cloud, e due persone che si occupano di informatica insieme a molte altre cose. La scegliamo inventata di proposito. Ricostruire il caso di un’azienda reale sulla base di quanto pubblicano i criminali significherebbe dare per accertato ciò che accertato non è, e questa serie non lo fa. Le fasi che seguono, però, non sono inventate: sono quelle che le rilevazioni sugli incidenti realmente gestiti descrivono con regolarità.
La cosa che sorprende chi non lavora nel settore è la lentezza. Tra il momento in cui qualcuno entra e il momento in cui i file diventano illeggibili passano spesso settimane. Non è inefficienza: è il tempo necessario a capire dove sono i dati che contano, chi ha i privilegi giusti e — soprattutto — dove sono le copie di sicurezza.
Giorno −21
Le credenziali di un utente vengono usate per la prima volta da un indirizzo mai visto prima. Nessun allarme: sono credenziali valide, e l’accesso avviene in orario d’ufficio.
Giorno −14
Ricognizione. Vengono mappate condivisioni di rete, utenze di dominio e server. Gli strumenti impiegati sono quelli di amministrazione già presenti nei sistemi.
Giorno −6
Escalation dei privilegi. Si arriva a un’utenza amministrativa di dominio, spesso attraverso un account di servizio con password mai cambiata.
Giorno −2
Esfiltrazione. Centinaia di gigabyte lasciano la rete verso un servizio di archiviazione, con un traffico in uscita che nessuno sta guardando.
0
Sabato notte
Vengono eliminate le copie shadow e i backup raggiungibili dalla rete, disattivate le protezioni, avviata la cifratura. Lunedì mattina qualcuno non riesce ad aprire un file.
L’attacco non comincia quando i file si bloccano. Quando i file si bloccano, l’attacco sta finendo.
Fase 1: da dove si entra davvero
Qui c’è la novità più importante dell’anno, e contraddice quello che la maggior parte dei materiali divulgativi continua a ripetere. Per la prima volta in quattro anni le vulnerabilità software non sono più il primo vettore d’ingresso. Nella rilevazione 2026 di Sophos sono scese al 18%, con un calo di quattordici punti su base annua, mentre email malevole e phishing insieme valgono metà di tutti gli incidenti.
| Vettore d’ingresso | Quota | Nota |
|---|---|---|
| Email malevola | 26% | Insieme valgono metà degli incidenti |
| Phishing | 24% | |
| Credenziali compromesse | 23% | Accessi validi, spesso acquistati da terzi |
| Vulnerabilità sfruttate | 18% −14 punti | Per la prima volta in quattro anni non è il primo vettore |
| Attacchi a forza bruta | 6% | In coda, ma ancora presenti |
Sommando i vettori che passano da un’identità — credenziali rubate, phishing che le raccoglie, sessioni dirottate — si arriva al 79% degli attacchi. Il che significa che il perimetro tecnico dell’azienda, nella grande maggioranza dei casi, non viene sfondato: viene attraversato con le chiavi giuste.
Un dato collaterale merita attenzione perché ribalta una gerarchia di spesa consolidata. Quando l’ingresso avviene sfruttando una vulnerabilità sul firewall, il 59% delle richieste di riscatto supera il milione di dollari, contro una media del 48%. Il dispositivo che dovrebbe proteggere il perimetro, quando cede, consegna una posizione privilegiata sull’intera infrastruttura — e chi attacca lo sa e alza il prezzo.
Fase 2: camminare senza far rumore
Entrati, gli attaccanti devono spostarsi. La tecnica che domina il 2026 si chiama Living off the Land, letteralmente «vivere di ciò che offre il territorio»: invece di introdurre strumenti propri, che un antivirus riconoscerebbe, si usano quelli che l’azienda ha già installato e che nessuno può bloccare senza fermare il lavoro quotidiano.
Gli strumenti di amministrazione remota, i motori di scripting integrati nel sistema operativo, le utility di copia e sincronizzazione, i software di assistenza usati dai fornitori: tutto legittimo, tutto firmato, tutto già autorizzato. Un antivirus tradizionale, che ragiona su firme di file malevoli, non ha nulla da segnalare — perché nessun file malevolo è stato scritto sul disco. È la ragione per cui il rilevamento efficace oggi guarda ai comportamenti: non «questo programma è cattivo», ma «questo account, che non ha mai fatto nulla del genere in due anni, alle tre di notte sta enumerando tutte le condivisioni di rete».
Fase 3: la caccia ai backup
Prima di cifrare qualsiasi cosa, un attacco condotto con metodo va a cercare le copie di sicurezza. È la fase che decide l’esito della trattativa, perché un’azienda che può ripristinare non paga — e chi attacca vuole eliminare quell’opzione prima di mostrarsi.
I bersagli sono tre, in ordine di facilità. Le copie shadow di Windows, eliminabili con un comando di sistema che richiede privilegi amministrativi ma nessuno strumento particolare. I backup su rete, tipicamente un NAS raggiungibile con le stesse credenziali di dominio che l’attaccante ha appena ottenuto. E il backup su cloud sincronizzato, che è il più insidioso: se la sincronizzazione è continua, i file cifrati sostituiscono quelli buoni in pochi minuti, e la copia remota diventa una copia fedele del disastro.
Se il sistema di backup si autentica sullo stesso dominio dell’infrastruttura che protegge, non è un backup: è una cartella. Nel momento in cui l’attaccante ottiene un’utenza amministrativa di dominio, ha ottenuto anche le copie. Le credenziali del backup vanno tenute fuori dal dominio, ed è una modifica che non costa nulla se non un’ora di lavoro e la disciplina di non tornare indietro.
La quarta porta: la catena di fornitura
C’è un modo di entrare che non compare nelle classifiche dei vettori perché non riguarda l’azienda colpita: riguarda qualcun altro. Nel 2026 il gruppo Cl0p ha condotto una campagna sfruttando una vulnerabilità non ancora nota in una piattaforma gestionale diffusa a livello internazionale, colpendo in un colpo solo decine di organizzazioni che non erano state prese di mira singolarmente.
Per la media impresa italiana questo scenario è più realistico dell’attacco mirato. Il vettore non è il criminale che studia la tua azienda: è il gestionale verticale aggiornato da un fornitore, il software di teleassistenza installato per comodità e mai rimosso, il consulente informatico che tiene le credenziali di dominio di trenta clienti sullo stesso computer portatile. La superficie d’attacco reale di un’impresa comprende tutti i soggetti che hanno le sue chiavi — e quasi nessuno ne tiene un elenco aggiornato.
Perché le estorsioni sono tre
Nel 2026 il 40% degli attacchi si è fermato alla sola cifratura, mentre nel 16% i dati sono stati anche sottratti. Il modello a più leve nasce da una constatazione commerciale: man mano che le aziende miglioravano i backup, la sola cifratura smetteva di produrre pagamenti. Le leve si sono quindi sommate. Ognuna colpisce un punto diverso, e — questo è il passaggio che interessa chi deve decidere dove investire — solo la prima è neutralizzabile con il backup.
| Leva | Cosa colpisce | Il backup la neutralizza? |
|---|---|---|
| Prima · Cifratura dei sistemi | La continuità operativa: non si lavora | Sì |
| Seconda · Pubblicazione dei dati sottratti | Riservatezza, segreti industriali, obblighi verso gli interessati | No |
| Terza · Contatto diretto a clienti e fornitori | Reputazione e rapporti commerciali | No |
«Ormai non cifrano più niente, rubano soltanto i dati.» È diventata un’affermazione ricorrente nei convegni, e ha una conseguenza pratica pericolosa: se la cifratura è superata, investire sul ripristino diventa secondario.
I numeri dicono l’opposto, e in modo netto. Nella rilevazione 2026 la quota di attacchi arrivati alla cifratura è salita al 56%, dal 50% dell’anno precedente. Gli attacchi di sola estorsione, senza alcuna cifratura, sono invece appena il 2% — in calo dal 6% dell’anno prima.
Quello che cresce è un’altra cosa: la combinazione delle due leve. Il 16% degli attacchi ha comportato dati insieme cifrati e sottratti, e sono i casi in cui la vittima si trova sotto pressione da due lati contemporaneamente.
Formulazione corretta: la cifratura non è affatto superata, è tornata a crescere. Ciò che è cambiato è che sempre più spesso non arriva da sola. Il backup continua a servire — semplicemente, copre una leva su due.
Scheda tecnica
Per addetti ai lavori · segnali osservabili prima della cifratura
- Autenticazioni anomale: accessi riusciti da geolocalizzazioni o ASN mai visti per quell’utenza; accessi fuori dall’orario abituale su account di servizio.
- Enumerazione: interrogazioni massive su directory di dominio e condivisioni di rete da parte di un singolo host in un intervallo breve.
- Eliminazione delle copie shadow: invocazione di utility di gestione delle copie del volume con parametri di cancellazione. È uno dei pochi eventi che ha valore di allarme quasi assoluto.
- Manomissione delle protezioni: arresto di servizi di sicurezza, modifica delle policy di esclusione, disinstallazioni silenziose.
- Traffico in uscita anomalo: volumi elevati verso servizi di archiviazione o sincronizzazione non previsti dalle policy aziendali, spesso di notte o nei fine settimana.
- Strumenti legittimi in contesti illegittimi: software di assistenza remota che compare su server che non lo hanno mai avuto; utility di copia massiva su file server.
Nessuno di questi segnali è di per sé conclusivo. La loro utilità sta nella correlazione temporale: due o tre insieme, nello stesso arco di ore, sono un incidente fino a prova contraria.
Fonti
| Fonte | Data | Riferimento |
|---|---|---|
| Sophos, The State of Ransomware 2026 — cause radice, tasso di cifratura, dato sul firewall | luglio 2026 | sophos.com |
| Sophos, Active Adversary Report 2026 — 661 casi di incident response e MDR | 2026 | sophos.com |
| SentinelOne, telemetria e statistiche malware 2026 — campagne Cl0p su piattaforma gestionale | maggio 2026 | sentinelone.com |
Nota di trasparenza e metodo. L’azienda descritta nella cronologia è un modello costruito a scopo esplicativo e non corrisponde ad alcun caso reale. In questa serie nessuna organizzazione colpita viene nominata sulla base di rivendicazioni pubblicate dai gruppi criminali. La scheda tecnica indica categorie di segnali osservabili e non contiene istruzioni operative utilizzabili a fini offensivi. Chi scrive svolge attività di consulenza in materia di protezione dei dati: l’articolo non contiene riferimenti a incarichi, clienti o documentazione riservata.