Il report Zscaler ThreatLabz 2026 registra un aumento del 275,8% dei dati sottratti dai principali gruppi ransomware. I criminali informatici sfruttano l’intelligenza artificiale e strumenti aziendali come Microsoft Teams per compromettere le organizzazioni.
Il furto di dati attraverso attacchi ransomware è aumentato del 275,8% in un anno, con quasi 900 terabyte di informazioni sottratte alle organizzazioni. I cybercriminali concentrano inoltre la propria attenzione sui dipendenti con responsabilità manageriali e sfruttano strumenti di intelligenza artificiale generativa per accelerare le operazioni. È quanto emerge dal Zscaler ThreatLabz 2026 Ransomware Report, pubblicato il 30 settembre 2026 e presentato in Italia il 12 ottobre.
La ricerca, che analizza l’attività ransomware tra aprile 2025 e marzo 2026, evidenzia un cambiamento nelle strategie di estorsione informatica. La cifratura dei sistemi, tradizionalmente associata a questa categoria di attacchi, non costituisce più l’unico strumento di pressione. I gruppi criminali attribuiscono un valore crescente alle informazioni riservate, che possono essere utilizzate per minacciare le vittime di una pubblicazione o di ulteriori abusi.
Secondo Zscaler, il volume di dati esfiltrati dai dieci gruppi ransomware più attivi sotto questo profilo ha raggiunto 896,2 terabyte, mentre i pagamenti di riscatto identificati attraverso le transazioni blockchain ammontano a circa 328 milioni di dollari.
Ransomware, il furto di dati cresce del 275,8% in un anno
Il dato più significativo del rapporto riguarda il volume di informazioni sottratte alle aziende. I 896,2 TB rilevati dai ricercatori rappresentano una crescita del 275,8% rispetto al periodo precedente e oltre sette volte il volume registrato tra il 2023 e il 2024, quando la quantità era pari a 123,8 TB.
È importante distinguere l’aumento dei dati rubati dalla crescita del numero degli attacchi. Il 275,8% riguarda infatti il volume di dati esfiltrati dai dieci gruppi analizzati e non rappresenta un incremento generale degli incidenti ransomware.
L’evoluzione conferma l’importanza delle strategie di doppia estorsione, nelle quali i criminali possono combinare la cifratura dei file con la minaccia di pubblicare le informazioni rubate. Alcuni gruppi ricorrono invece alla sola esfiltrazione, senza bloccare necessariamente i sistemi informatici della vittima.
Quest’ultima modalità può rendere l’attacco meno evidente nelle fasi iniziali, poiché l’organizzazione potrebbe continuare a operare normalmente anche dopo la compromissione dei propri dati.
Le informazioni sottratte possono comprendere documenti finanziari, proprietà intellettuale, dati personali dei clienti, contratti, credenziali e comunicazioni aziendali.
L’aumento dei dati sottratti non corrisponde a una crescita equivalente dei pagamenti. Secondo gli approfondimenti pubblicati da Zscaler, il volume dei riscatti identificati è diminuito del 15,8% rispetto all’anno precedente, fino a 327,8 milioni di dollari.
Il numero dei pagamenti rilevati è sceso del 20,1%, mentre l’importo medio versato dalle organizzazioni che hanno pagato è aumentato del 5,3%, fino a 431.995 dollari.
La differenza suggerisce che, nonostante la diminuzione complessiva delle transazioni osservate, gli attacchi che si concludono con un pagamento continuano a generare importi considerevoli.
I dirigenti aziendali sono tra i principali bersagli dei ransomware
Un altro aspetto emerso dalle analisi di ThreatLabz riguarda i profili professionali delle persone compromesse.
In una campagna ransomware esaminata dai ricercatori, il 62% delle 351 vittime identificate ricopriva posizioni manageriali o superiori. Il campione comprendeva dipendenti di 334 organizzazioni e non rappresenta necessariamente la distribuzione di tutte le vittime ransomware a livello mondiale.
I dipendenti con responsabilità aziendali costituiscono obiettivi interessanti per i criminali informatici perché possono disporre di accessi a informazioni riservate e processi decisionali, anche senza possedere privilegi amministrativi sui sistemi IT.
Un responsabile finanziario, per esempio, può accedere a documenti bancari, fatture e procedure di pagamento. Un dirigente commerciale può invece disporre di informazioni sui clienti, contratti, listini e trattative riservate.
Secondo una ricerca specifica pubblicata da Zscaler nell’agosto 2026, circa il 75% delle persone compromesse nella campagna analizzata lavorava nei reparti amministrazione e finanza, vendite, operazioni, risorse umane o marketing.
Questa distribuzione evidenzia come i gruppi criminali non cerchino esclusivamente account con privilegi tecnici elevati, ma anche identità aziendali che permettono di raggiungere informazioni economicamente rilevanti.
Microsoft Teams e Quick Assist utilizzati negli attacchi ransomware
I ricercatori segnalano inoltre un maggiore utilizzo di strumenti aziendali legittimi nelle operazioni di compromissione.
Tra le piattaforme coinvolte figurano Microsoft Teams e Quick Assist, l’applicazione Windows che consente di fornire assistenza remota a un altro computer.
Una delle tecniche documentate prevede il ricorso allo spam bombing, cioè l’invio massiccio di messaggi o notifiche alla vittima. Successivamente, il criminale può contattare il dipendente attraverso Microsoft Teams, presentarsi come un tecnico dell’assistenza e proporre un intervento per risolvere il presunto problema.
L’inganno rientra nelle tecniche di social engineering, che sfruttano la fiducia delle persone per ottenere accessi o autorizzazioni.
Se il dipendente accetta una sessione di assistenza remota non autorizzata, l’aggressore può tentare di acquisire il controllo del dispositivo e avviare ulteriori attività all’interno della rete aziendale.
Tra queste figurano la ricognizione dei sistemi, la persistenza, gli spostamenti laterali verso altri dispositivi e il furto delle informazioni.
Il problema non riguarda una vulnerabilità intrinseca di Microsoft Teams o Quick Assist. Sono strumenti legittimi che possono essere sfruttati attraverso l’inganno, soprattutto quando mancano procedure di verifica delle richieste di supporto tecnico.
Il ruolo dell’intelligenza artificiale generativa negli attacchi ransomware
Il report attribuisce particolare attenzione all’utilizzo dell’intelligenza artificiale generativa da parte dei gruppi criminali.
Secondo Zscaler, gli strumenti GenAI contribuiscono ad accelerare alcune fasi delle operazioni, dalla produzione di contenuti per le campagne di social engineering allo sviluppo di strumenti e script.
La disponibilità di modelli generativi può ridurre il tempo necessario per preparare messaggi fraudolenti, adattare comunicazioni a destinatari specifici o assistere nella scrittura di codice.
ThreatLabz segnala inoltre il crescente utilizzo di linguaggi di scripting, tra cui JavaScript, PowerShell e Python, per realizzare e modificare strumenti impiegati nelle campagne ransomware.
Queste tecnologie non sono malevole per loro natura: vengono utilizzate quotidianamente anche dagli amministratori di sistema e dagli sviluppatori. La loro presenza nei sistemi aziendali può tuttavia rendere più complessa l’identificazione di attività sospette quando gli aggressori cercano di confondersi con le normali operazioni.
Il report individua quindi nell’intelligenza artificiale un fattore di accelerazione delle attività criminali, senza dimostrare che ogni attacco analizzato abbia effettivamente utilizzato strumenti GenAI.
Logistica ed energia tra i settori con la crescita più elevata
Le imprese del trasporto merci e della logistica hanno registrato un incremento del 725%, mentre i servizi di pubblica utilità, che comprendono attività essenziali come quelle energetiche, hanno registrato una crescita del 622%.
In questi ambienti, l’indisponibilità dei sistemi informatici può compromettere la distribuzione delle merci, la pianificazione delle attività e la continuità dei servizi.
Per i gruppi ransomware, il rischio di interruzioni costituisce un ulteriore elemento di pressione sulle organizzazioni colpite.
L’Italia rappresenta il 2,7% delle attività ransomware osservate
La distribuzione geografica delle attività analizzate da ThreatLabz mostra una forte concentrazione negli Stati Uniti.
Le organizzazioni statunitensi rappresentano il 50,7% delle attività osservate, seguite da Canada, Germania e Regno Unito.
| Paese | Quota delle attività osservate |
|---|---|
| Stati Uniti | 50,7% |
| Canada | 4,8% |
| Germania | 4,3% |
| Regno Unito | 4,1% |
| Italia | 2,7% |
L’Italia figura dunque tra i Paesi interessati dal fenomeno, con una quota del 2,7% riportata nei dati diffusi attraverso il comunicato italiano di Zscaler.
Queste percentuali descrivono la distribuzione geografica rilevata dai ricercatori e non devono essere interpretate come la probabilità che un’azienda di un determinato Paese subisca un attacco.
Qilin, Akira e INC Ransom tra i gruppi più attivi
L’ecosistema ransomware continua a mostrare una notevole capacità di trasformazione, anche a seguito delle operazioni delle forze dell’ordine e delle interruzioni delle infrastrutture criminali.
Durante il periodo analizzato, ThreatLabz ha individuato 7.366 vittime pubblicate sui siti di diffusione dei dati rubati, i cosiddetti leak site. Il dato rappresenta una diminuzione del 3% rispetto all’anno precedente.
Le organizzazioni colpite da Qilin, Akira e INC Ransom costituiscono complessivamente il 34% delle vittime rese pubbliche.
Un altro elemento riguarda il ricambio dei gruppi criminali. Nove delle prime quindici organizzazioni ransomware per numero di vittime sono nuove nella classifica, mentre ThreatLabz ha identificato 52 gruppi divenuti attivi durante l’ultimo anno.
Il ricambio dei nomi non implica necessariamente la scomparsa delle competenze o delle infrastrutture criminali. Gli affiliati possono trasferirsi tra diversi programmi ransomware, mentre alcuni gruppi possono cambiare identità o ricostituirsi dopo un’interruzione delle attività.
Occorre inoltre considerare che i leak site non rappresentano un censimento completo degli attacchi. Alcune vittime possono pagare prima della pubblicazione, altre potrebbero non essere mai elencate. I dati consentono quindi di osservare una parte rilevante del fenomeno, ma non la sua intera dimensione.
Come proteggere le aziende dagli attacchi ransomware
Secondo ThreatLabz, la prevenzione deve concentrarsi non soltanto sulla cifratura dei file, ma sull’intera sequenza dell’attacco, dall’accesso iniziale fino alla possibile esfiltrazione delle informazioni.
La protezione degli account rappresenta uno degli elementi prioritari. L’autenticazione multifattore resistente al phishing, la verifica delle identità e la limitazione dei privilegi possono ridurre le possibilità di accesso non autorizzato.
Un’attenzione particolare deve essere riservata ai dipendenti con ruoli manageriali, che potrebbero possedere accessi a dati sensibili o autorizzazioni rilevanti per i processi aziendali.
Anche gli strumenti di collaborazione e assistenza remota richiedono controlli specifici. Le aziende dovrebbero definire procedure chiare per verificare le richieste di supporto tecnico e impedire sessioni remote non autorizzate.
Sul piano infrastrutturale, la segmentazione della rete, il monitoraggio dei comportamenti anomali e i controlli sulle comunicazioni in uscita possono ostacolare gli spostamenti laterali e individuare tentativi di sottrazione dei dati.
Le copie di sicurezza isolate e sottoposte a verifiche periodiche restano fondamentali per il ripristino dei sistemi in caso di cifratura. Tuttavia, i backup da soli non impediscono la pubblicazione dei dati già sottratti, un aspetto particolarmente importante nelle campagne di estorsione senza cifratura.
«Le campagne di estorsione ransomware che hanno successo stanno abbandonando la tradizionale cifratura dei file, che spesso provoca interruzioni delle operazioni, per concentrarsi su attacchi di furto di dati meno visibili, ma potenzialmente più dannosi», ha dichiarato Deepen Desai, Executive Vice President of Cybersecurity di Zscaler.
Secondo Desai, le organizzazioni devono intervenire nelle prime fasi della compromissione, ridurre le opportunità di accesso iniziale, limitare i movimenti laterali e impedire che le informazioni sensibili lascino i sistemi aziendali.
Metodologia del report Zscaler ThreatLabz 2026
Il rapporto prende in esame le attività ransomware osservate tra aprile 2025 e marzo 2026 attraverso la telemetria di Zscaler e le analisi condotte dal gruppo di ricerca ThreatLabz.
L’indagine comprende l’attività dei gruppi criminali e dei loro affiliati, i profili delle vittime, le tecniche di compromissione, l’esfiltrazione delle informazioni e i pagamenti dei riscatti.
I risultati derivano dall’insieme delle fonti e dei fenomeni osservabili dai ricercatori. Le statistiche sui dati rubati, sui pagamenti e sulle vittime pubblicate fanno riferimento a insiemi di osservazione differenti e non devono essere considerate misure esaustive dell’intero fenomeno ransomware mondiale.
