Le vulnerabilità software non rappresentano più il principale punto di ingresso degli attacchi ransomware. Il nuovo State of Ransomware 2026 di Sophos rileva un cambiamento nei metodi usati dai cybercriminali: il 79% degli incidenti analizzati ha avuto origine da una tecnica legata all’identità digitale.
Email malevole, phishing, credenziali compromesse e tentativi brute force costituiscono ormai la maggior parte delle cause tecniche iniziali. Per la prima volta in quattro anni, lo sfruttamento delle vulnerabilità perde il primo posto nella classifica elaborata da Sophos.
Il report si basa sulle risposte di 2.158 responsabili IT e della sicurezza informatica appartenenti a organizzazioni che avevano subito almeno un attacco ransomware nei dodici mesi precedenti. La ricerca ha coinvolto aziende ed enti di 17 Paesi, Italia compresa, con un numero di dipendenti compreso tra 100 e 5.000.
Email malevole e phishing superano le vulnerabilità
Secondo il rapporto, le email malevole sono all’origine del 26% degli attacchi ransomware, mentre il phishing rappresenta il 24% dei casi. Le credenziali compromesse incidono per il 23% e gli attacchi brute force per il 6%.
La somma di queste quattro categorie porta al dato del 79% relativo agli attacchi basati sull’identità:
- email malevole: 26%;
- phishing: 24%;
- credenziali compromesse: 23%;
- attacchi brute force: 6%.
Lo sfruttamento delle vulnerabilità software scende invece al 18%, con una riduzione di 14 punti percentuali rispetto all’anno precedente.
Il dato richiede una precisazione. Non significa che il 79% degli attacchi parta da un account già violato. Sophos riunisce sotto la definizione di approccio basato sull’identità anche le tecniche che mirano a ottenere credenziali, convincere un dipendente a eseguire un’azione o forzare un sistema di autenticazione.
Il risultato mostra comunque quanto la protezione delle identità aziendali abbia assunto un ruolo centrale nella difesa dal ransomware. Password, cookie di sessione, token di accesso, account amministrativi e identità dei servizi costituiscono obiettivi di alto valore per gli attaccanti.
Perché gli account validi sono così utili ai cybercriminali
Un account legittimo permette all’attaccante di apparire, almeno nelle prime fasi, come un normale utente dell’organizzazione. L’accesso può riguardare la posta elettronica, una VPN, un servizio cloud, un’applicazione aziendale o un pannello di amministrazione.
Da quel punto, il criminale può cercare privilegi superiori, individuare dati sensibili, accedere ai backup o spostarsi verso altri sistemi della rete. L’uso di credenziali valide può inoltre rendere più difficile la distinzione tra attività autorizzate e comportamento ostile.
Il 67% delle organizzazioni coinvolte nella ricerca ha dichiarato che l’attacco ransomware ha coinciso con il più grave incidente di compromissione delle identità subito nello stesso periodo. Un’altra analisi di Sophos, basata su 661 interventi reali di incident response e Managed Detection and Response, attribuisce a problemi legati alle identità il 67% delle cause iniziali osservate.
Le aziende devono quindi proteggere non soltanto gli account dei dipendenti. Anche le identità non umane, come account di servizio, token API, applicazioni, processi automatizzati e credenziali presenti negli ambienti cloud, possono offrire accessi estesi all’infrastruttura.
Il 97% aveva una forma di MFA: perché non è bastata
Uno dei dati più delicati del report riguarda l’autenticazione multifattore. Nel 97% degli attacchi attribuiti a credenziali compromesse, l’organizzazione disponeva già di almeno una forma di MFA.
Questo dato non dimostra che l’autenticazione multifattore sia inefficace. Indica piuttosto che la sua semplice presenza non garantisce una copertura completa. La MFA poteva essere attiva su alcuni servizi, ma assente sulla VPN, sul pannello del firewall, su applicazioni legacy o su account privilegiati. Sophos identifica proprio nelle lacune di copertura uno dei principali problemi emersi dall’indagine.
Esistono inoltre tecniche capaci di colpire sistemi MFA tradizionali. Un attacco adversary-in-the-middle può intercettare credenziali e cookie di sessione tramite una pagina di accesso contraffatta. Il criminale può poi riutilizzare il token della sessione autenticata senza ripetere il secondo controllo. Anche malware installati sul dispositivo possono sottrarre token e altri dati di autenticazione.
Altri rischi riguardano le richieste push ripetute, il social engineering contro il personale del supporto tecnico, il recupero debole degli account e la presenza di protocolli che non richiedono MFA.
La CISA raccomanda l’adozione di sistemi resistenti al phishing, con particolare attenzione agli standard FIDO e WebAuthn. La protezione dovrebbe coprire almeno email, VPN, servizi remoti, account amministrativi e sistemi critici.
Crescono gli attacchi che cifrano i dati
Il 56% degli attacchi ransomware ha provocato la cifratura dei dati. Il valore sale rispetto al 50% registrato nel 2025, ma resta inferiore al picco del 75% osservato nel 2023.
Nel 16% dei casi, i criminali hanno sia cifrato sia sottratto le informazioni. Questa combinazione permette di esercitare una doppia pressione sulla vittima: l’organizzazione deve affrontare il blocco dei sistemi e, nello stesso momento, la minaccia di pubblicazione o vendita dei dati rubati.
Quando la cifratura riesce, quasi un’organizzazione su due sceglie di pagare. Il 48% delle vittime con dati cifrati ha versato un riscatto, un dato vicino alla media del 50% registrata negli ultimi quattro anni.
Il pagamento non garantisce però il recupero completo dei dati, l’eliminazione delle copie sottratte o l’assenza di ulteriori richieste. Anche dopo la consegna di una chiave di decifratura, l’organizzazione deve verificare i sistemi, rimuovere gli accessi ostili, ricostruire l’infrastruttura e controllare l’integrità dei dati.
Riscatti più bassi, ma ripristino più costoso
La richiesta mediana di riscatto è scesa a 698.000 dollari, con una riduzione del 65% nell’arco di due anni. Il pagamento mediano si attesta invece a 769.000 dollari, contro il milione di dollari rilevato nel rapporto precedente.
Tra le organizzazioni che hanno pagato, il 51% è riuscito a ottenere una cifra inferiore rispetto alla richiesta iniziale. Il Regno Unito presenta la richiesta mediana più alta tra i Paesi esaminati, pari a 2,5 milioni di dollari.
La diminuzione dei riscatti non corrisponde a una riduzione dei danni complessivi. Il costo medio di ripristino raggiunge 1,7 milioni di dollari per incidente, senza il pagamento del riscatto. Il valore cresce dell’11% rispetto all’anno precedente.
Questa cifra comprende attività come indagini forensi, consulenza legale, ricostruzione dei sistemi, ripristino dei dati, comunicazioni ai clienti, perdita di produttività e interruzione dei servizi.
Le piccole organizzazioni fermano meno attacchi
Le dimensioni dell’organizzazione incidono sulla capacità di arrestare il ransomware prima della cifratura o dell’estorsione.
Solo il 34% delle aziende con 100-250 dipendenti è riuscito a bloccare l’attacco prima della fase più dannosa. Tra le organizzazioni con 3.001-5.000 dipendenti, la percentuale sale al 46%.
Le realtà più piccole dispongono spesso di team IT ridotti, meno strumenti specialistici e una copertura limitata fuori dall’orario di lavoro. Gli attaccanti possono approfittare di queste condizioni per mantenere l’accesso più a lungo e completare le attività di ricognizione.
Il report segnala però un miglioramento nei tempi di recupero. Il 55% delle organizzazioni torna pienamente operativo entro una settimana, mentre il 16% completa il ripristino in meno di 24 ore.
Le vulnerabilità restano un rischio critico
La perdita del primo posto tra le cause iniziali non rende meno importanti le vulnerabilità software. Alcune compromissioni producono un impatto economico particolarmente elevato, soprattutto quando riguardano apparati esposti su Internet.
Negli attacchi che partono dallo sfruttamento di una vulnerabilità presente sul firewall, il 59% delle richieste di riscatto supera il milione di dollari. Nel complesso degli attacchi, la percentuale si ferma al 48%.
Un firewall compromesso può offrire una posizione privilegiata all’interno della rete. L’attaccante può accedere ai flussi di comunicazione, individuare sistemi interni e aggirare alcuni controlli perimetrali.
L’applicazione delle patch resta quindi essenziale, ma non può rappresentare l’unica misura di difesa. Le organizzazioni devono conoscere gli asset esposti su Internet, rimuovere i servizi non necessari e applicare priorità più alte alle vulnerabilità presenti su VPN, firewall, gateway e strumenti di amministrazione remota.
Come ridurre il rischio ransomware
Una strategia efficace deve coordinare protezione delle identità, sicurezza delle email, difesa degli endpoint, gestione delle vulnerabilità e capacità di risposta.
Le principali misure comprendono:
- proteggere tutte le identità, comprese quelle privilegiate, temporanee e non umane;
- estendere l’MFA a ogni punto di accesso, senza escludere VPN, firewall, servizi legacy e pannelli amministrativi;
- preferire sistemi MFA resistenti al phishing, come passkey e chiavi di sicurezza compatibili con FIDO2;
- controllare sessioni e token, con criteri di accesso condizionale, revoca rapida e rilevamento degli accessi anomali;
- rafforzare la sicurezza della posta elettronica, con filtri antiphishing, formazione del personale e configurazioni DMARC, DKIM e SPF;
- applicare le patch in base al rischio, con priorità per gli asset esposti su Internet;
- conservare copie di backup offline o immutabili e verificare con regolarità le procedure di ripristino;
- monitorare endpoint, rete e identità senza interruzioni, attraverso strumenti EDR, XDR, ITDR o servizi MDR;
- preparare un piano di risposta agli incidenti, con ruoli, contatti, procedure tecniche e simulazioni periodiche.
La CISA raccomanda backup cifrati, offline e immutabili, oltre a test regolari delle operazioni di recupero. Le copie sempre raggiungibili dalla rete possono subire la stessa cifratura che colpisce i sistemi di produzione.
