L’industria del riscatto

Un lunedì qualunque

Il momento in cui un’azienda scopre di essere stata colpita non somiglia a quello che si vede nei film. Non c’è un conto alla rovescia su uno schermo nero. C’è, di solito, una segretaria che alle otto e dieci di lunedì non riesce ad aprire un file, un tecnico che pensa a un problema di rete, e una mezz’ora abbondante in cui tutti credono ancora che si tratti di un disservizio. La consapevolezza arriva per gradi, ed è questa lentezza iniziale — non la sofisticazione tecnica dell’attacco — a determinare buona parte di quello che succederà dopo.

Chi ha organizzato quel lunedì, però, non ha improvvisato nulla. Ha comprato l’accesso alla rete da qualcuno che lo aveva ottenuto settimane prima e lo rivendeva come merce. Ha noleggiato il software di cifratura da un gruppo che lo sviluppa, lo aggiorna e ne cura la compatibilità. Se l’azienda deciderà di trattare, troverà dall’altra parte un interlocutore che risponde negli orari d’ufficio, argomenta, concede sconti e in alcuni casi fornisce assistenza tecnica per il ripristino. Nessuna di queste persone si è mai incontrata, e quasi nessuna di loro sa il nome dell’azienda colpita fino a quando non compare sul sito delle rivendicazioni.

La domanda giusta non è più «chi ci ha attaccato», ma «quale pezzo di quale filiera ci ha attaccato, e per conto di chi».

Non un hacker: un’azienda

Il modello si chiama Ransomware-as-a-Service, e il nome dice già tutto: è la trasposizione criminale del software venduto come servizio. Un gruppo centrale sviluppa e mantiene il malware, gestisce l’infrastruttura di pagamento e il sito su cui pubblicare i dati delle vittime che non pagano, e fornisce ai propri affiliati pannelli di controllo, documentazione e supporto. Gli affiliati non scrivono una riga di codice: conducono materialmente gli attacchi e trattengono una percentuale del riscatto, di norma la quota maggiore.

Attorno a questo nucleo si è formata una filiera di specialisti che vendono servizi gli uni agli altri. È una divisione del lavoro che qualsiasi manager riconoscerebbe, ed è la ragione per cui la competenza tecnica necessaria per condurre un attacco è crollata mentre la sua efficacia aumentava.

Questa struttura spiega anche un fatto che sembra paradossale: le vittime raccontano spesso di aver trovato, dall’altra parte, un’organizzazione più ordinata della propria. Chat di supporto, tempi di risposta, procedure. Non è teatro. È il modo in cui un’operazione che tratta centinaia di casi l’anno riduce i propri costi di gestione.

I numeri del 2026

Due rilevazioni indipendenti, entrambe pubblicate nell’estate 2026, permettono di misurare il fenomeno da due angolazioni diverse. La prima conta le rivendicazioni pubblicate dai criminali; la seconda intervista chi è stato colpito.

La curva non è uniforme. Nei primi sei mesi del periodo le vittime rivendicate sono state 2.904; nei sei successivi 4.647, con un salto del 60% e un picco di 861 casi nel solo mese di marzo 2026. È un’accelerazione che riguarda il ritmo operativo, non la stagionalità.

Dal lato di chi subisce, il quadro è più sorprendente. L’indagine annuale di Sophos, condotta su 2.158 responsabili IT e sicurezza in diciassette Paesi le cui organizzazioni sono state colpite negli ultimi dodici mesi, registra un crollo delle cifre chieste e pagate: richiesta mediana scesa a 698.000 dollari, pagamento mediano a 769.000, entrambi in calo di oltre il 60% in due anni. Poco più della metà di chi ha pagato — il 51% — ha versato meno di quanto chiesto; il 30% ha pagato esattamente la cifra richiesta e il 18% ha pagato di più. Il pagamento mediano si è fermato al 90% della richiesta iniziale.

La propensione a pagare varia enormemente per settore, e la variabile decisiva non è la ricchezza dell’organizzazione ma la pressione a riaprire subito. Le amministrazioni locali e regionali pagano nel 72% dei casi; il commercio al dettaglio, che può assorbire qualche giorno di fermo e in genere ha ripristini più lineari, si ferma al 32%.

Un ultimo dato, che riguarda direttamente il tessuto produttivo italiano: le organizzazioni tra i 100 e i 250 dipendenti riescono a fermare l’attacco prima della cifratura solo nel 34% dei casi, contro il 46% delle strutture più grandi. Non è una questione di consapevolezza, è una questione di turni: nessuno presidia i log alle tre di notte di sabato.

Cosa misurano davvero queste cifre

Qui serve una precisazione che raramente si trova negli articoli sul tema, e che è la ragione per cui in giro circolano numeri incompatibili tra loro presentati come equivalenti.

La conseguenza pratica per chi legge: quando un articolo annuncia una percentuale di crescita a due cifre senza dire cosa sta contando, quella percentuale non è verificabile e non dovrebbe orientare una decisione di spesa.

Centoquarantasei sigle

Negli ultimi anni le forze dell’ordine hanno ottenuto risultati reali. Nel febbraio 2025 l’operazione internazionale Phobos Aetor ha smantellato il gruppo 8Base con quattro arresti e il sequestro di ventisette server. Poco dopo Black Basta è collassato da sola, dopo che una fuga di chat interne ne ha esposto l’organizzazione dall’interno. Sono successi documentati e significativi.

Eppure la curva delle vittime non si è piegata. La ragione è che questo mercato reagisce come un liquido: gli affiliati non sono dipendenti di un’azienda, sono appaltatori. Quando un marchio scompare, migrano su un altro in poche settimane, portandosi dietro accessi, competenze e abitudini operative. Nello stesso periodo in cui due gruppi importanti uscivano di scena, ne sono comparsi sessantuno nuovi.

Convivono quindi due movimenti opposti, ed entrambi sono veri: una frammentazione del numero di sigle e una concentrazione dei volumi su pochi marchi dominanti. I cinque gruppi maggiori controllano da soli il 43,6% delle vittime rivendicate, mentre la coda lunga si allunga di continuo. È una struttura di mercato che si osserva in parecchi settori legali.

Quanto sia instabile la parte alta di questa classifica lo dice un solo dato: RansomHub, che era il primo gruppo per numero di vittime con 736 rivendicazioni, è passato a zero nell’arco di dodici mesi.

L’Italia, e perché il Nord

Il quadro nazionale arriva dal Cyber Security Report realizzato da Cyber Security Foundation e TIM con Insikt Group di Recorded Future, presentato alla Camera dei Deputati nel giugno 2026. Nel 2025 in Italia si contano 166 attacchi ransomware rilevati, in crescita del 14% rispetto ai 146 dell’anno precedente, su oltre 7.400 attacchi tracciati a livello globale — questi ultimi in aumento del 42%.

C’è un dettaglio che va raccontato con precisione, perché si presta a essere letto al contrario. In classifica europea l’Italia scende: era seconda nel 2023, oggi è quarta, superata da Germania, Regno Unito e Francia. Non è una buona notizia. Gli attacchi in Italia continuano a crescere: sono cresciuti di più altrove, con la Germania a +74%, la Spagna a +65% e la Francia a +40%. La retrocessione misura la velocità degli altri, non un miglioramento nostro.

Un altro confronto aiuta a mettere le cose in scala. Rapportando gli attacchi al numero di imprese, negli Stati Uniti se ne contano circa 109 per milione di aziende, in Canada 78, nel Regno Unito 46 e nell’Unione Europea 35. Gli Stati Uniti restano il bersaglio privilegiato, e circa un attacco su due nel mondo colpisce imprese americane.

Sul piano territoriale la concentrazione è netta: la Lombardia è l’epicentro con 53 attacchi, il 31,9% del totale nazionale e 4,5 punti in più rispetto al 2024. Seguono Emilia-Romagna con 20 casi, poi Lazio e Veneto con 19 ciascuno — e in Veneto i casi quasi raddoppiano, anche se su volumi piccoli basta poco per generare oscillazioni ampie. Le prime quattro regioni assorbono i due terzi degli attacchi, e circa quattro su dieci si concentrano nel Nord-Ovest.

La spiegazione non è che al Nord si difendano peggio. È che lì si trova la maggiore densità industriale e di servizi avanzati, dove è più alta la probabilità di ottenere leva: continuità operativa da interrompere, dati sensibili da esfiltrare, filiere su cui una singola fermata produce effetti a cascata. Non a caso i settori più colpiti in Italia sono manifattura e servizi professionali, seguiti da commercio e tecnologico: quattro comparti che insieme concentrano circa tre quarti degli attacchi. Il dato globale conferma il profilo: per il quarto anno consecutivo la manifattura è il settore più colpito al mondo, con 1.660 vittime rivendicate, il 22% del totale.

Due righe meritano una lettura più lenta. La prima è quella sulle vulnerabilità sfruttate in attacchi reali: nel primo semestre 2025 ne sono state contate 161, più di quante ne registri il catalogo ufficiale statunitense delle vulnerabilità note come sfruttate. Significa che l’elenco a cui molte aziende si affidano per stabilire le priorità di aggiornamento arriva, per definizione, dopo.

La seconda riguarda il perimetro della normativa europea sulla sicurezza delle reti. Applicando un modello probabilistico alle rivendicazioni, gli analisti stimano che le aziende italiane colpite e verosimilmente soggette a quegli obblighi siano passate dal 27,3% al 32,5% in un anno. Il dato va preso per quello che è — una stima, non una verifica, perché l’elenco ufficiale dei soggetti non è pubblico — ma indica una direzione: il ransomware sta bussando sempre più spesso alle porte che la normativa considera critiche. È il tema della terza puntata.

Glossario minimo

Fonti