Per banche, assicurazioni e altre imprese finanziarie colpite da ransomware, il ritorno alla piena operatività richiede in media 3,79 settimane. Il valore era di 2,72 settimane nel 2025: l’aumento è vicino al 39%. È uno dei dati del rapporto State of Ransomware in Financial Services 2026, diffuso da Sophos nel comunicato del 29 ottobre.
La ricerca attribuisce l’85% degli attacchi del comparto a vettori legati all’identità digitale. Il dato riguarda gli incidenti analizzati tra le organizzazioni colpite, non la percentuale di tutte le banche che hanno subito un attacco. Le conseguenze riguardano disponibilità dei sistemi, recupero delle informazioni e continuità dei servizi.
Ransomware nel settore finanziario: il peso delle identità
Le email malevole e le credenziali compromesse rappresentano ciascuna il 26% degli incidenti indicati nel comunicato, mentre il phishing raggiunge il 23%. Sophos distingue queste categorie nella propria classificazione: non vanno sommate per ricostruire autonomamente l’intero insieme degli attacchi legati all’identità.
Il quadro amplia il tema già affrontato nella ricerca Akamai sulle frodi e gli accessi sospetti. Un account valido può diventare un punto d’ingresso: dopo il primo accesso, i permessi assegnati e la separazione dei sistemi incidono sulle possibilità di propagazione.
La presenza della MFA non descrive tutta la protezione
Il 96% delle aziende vittime di attacchi partiti da credenziali compromesse disponeva già di una forma di autenticazione a più fattori. Nel medesimo gruppo, il 70% ha comunque subito la cifratura dei dati.
Questo risultato non dimostra che la MFA fosse applicata a ogni account o che sia stata aggirata direttamente in ciascun incidente. Il comunicato non dettaglia tutte le configurazioni. La semplice presenza della tecnologia nell’organizzazione non basta, quindi, a descrivere copertura ed efficacia dei controlli.
Un altro indicatore riguarda le lacune già conosciute: il 44% delle aziende colpite ha indicato una debolezza di sicurezza nota ma non risolta. La percentuale è la più alta tra i settori analizzati secondo Sophos. La gestione degli aggiornamenti deve accompagnare la protezione degli accessi e il controllo delle attività anomale.
Più recuperi da backup, ma il fermo si allunga
Tra le imprese con dati cifrati, il 75% ha recuperato informazioni dai backup, contro il 44% del 2025. La quota che ha pagato un riscatto e recuperato dati è scesa dal 67% al 50%. Le modalità di recupero possono coesistere: un’azienda può usare copie di sicurezza per una parte dei sistemi e altri mezzi per il resto.
Il pagamento mediano del riscatto è pari a 1,07 milioni di dollari, in calo da 1,5 milioni del 2025. Il costo medio di ripristino passa da 1,74 a 1,5 milioni. Sono misure differenti: la mediana dei riscatti non va confusa con la media dei costi di recupero.
Il ripristino comprende processi e persone
Il recupero delle informazioni non coincide automaticamente con la ripresa di tutte le attività. Occorrono verifiche dei sistemi, ricostruzione delle dipendenze e test delle procedure operative. Il rapporto segnala inoltre che il 52% dei team IT e di sicurezza del settore ha riferito più ansia o stress per possibili attacchi futuri.
Il Rapporto Clusit sul primo semestre 2026 offre un diverso punto di osservazione sugli incidenti noti. I due studi hanno perimetri e metodi distinti: i loro valori non sono direttamente sovrapponibili.
Fonte: comunicato Sophos del 29 ottobre 2026, State of Ransomware in Financial Services 2026. Il rapporto generale State of Ransomware 2026 descrive il contesto trasversale ai settori.
