Il Ransomware Risk Report 2026 di Semperis evidenzia un aumento delle forme di estorsione che colpiscono la sfera privata dei dipendenti. In Italia il 63% delle organizzazioni intervistate segnala episodi di doxxing, mentre il 38% riferisce casi di swatting. Il 76% delle aziende colpite ha pagato un riscatto.
Gli attacchi ransomware non si limitano più alla cifratura dei file, al furto di informazioni riservate e all’interruzione delle attività aziendali. Le organizzazioni criminali ricorrono anche a minacce contro i dipendenti, intimidazioni psicologiche e pressioni sui loro familiari, con l’obiettivo di costringere le vittime a pagare un riscatto.
È quanto emerge dal Ransomware Risk Report 2026 di Semperis, pubblicato il 14 ottobre. Lo studio, condotto da Censuswide su 1.200 professionisti IT e della sicurezza informatica in nove Paesi, tra cui l’Italia, descrive un’evoluzione delle tecniche estorsive e un maggiore ricorso all’intelligenza artificiale.
I risultati italiani sono particolarmente significativi: nel 43% degli attacchi sono state segnalate minacce contro familiari o amici dei dipendenti, mentre il 63% delle organizzazioni ha riferito episodi di divulgazione non autorizzata di informazioni personali.
Il campione comprende esclusivamente organizzazioni che hanno subito almeno un attacco ransomware riuscito nei dodici mesi precedenti l’indagine. Le percentuali, quindi, descrivono l’esperienza delle aziende già compromesse e non possono essere estese indistintamente a tutte le imprese italiane.
Ransomware, dalle richieste di riscatto alle minacce contro i familiari
Uno degli aspetti più rilevanti del rapporto riguarda il progressivo spostamento delle attività estorsive dalla dimensione aziendale a quella personale.
Secondo i dati italiani, il 41% delle organizzazioni ha segnalato intimidazioni psicologiche, il 32% minacce di rapimento e il 22% minacce di danni fisici. Tra le vittime che hanno riferito intimidazioni, il 74% ha dichiarato che gli autori degli attacchi hanno dato seguito alle minacce.
Si tratta di dichiarazioni raccolte attraverso un’indagine e non di una ricostruzione giudiziaria dei singoli episodi. I risultati indicano comunque che la pressione esercitata dai gruppi criminali può coinvolgere persone estranee all’organizzazione colpita.
Le minacce ai familiari costituiscono una forma di estorsione che si aggiunge alle tecniche tradizionali. I criminali possono cercare di ottenere il pagamento attraverso la paura di conseguenze personali, anche quando l’azienda dispone di copie di sicurezza dei dati e potrebbe ripristinare i sistemi senza cedere alle richieste.
Doxxing e swatting: cosa sono e perché vengono utilizzati
Il rapporto segnala due fenomeni particolarmente preoccupanti.
Il primo è il doxxing, ossia la diffusione pubblica e non autorizzata di informazioni personali. Possono essere esposti indirizzi di abitazione, numeri telefonici, dati sui familiari e altre informazioni che consentono di identificare o rintracciare una persona. Nel campione italiano, il 63% delle organizzazioni ha segnalato episodi di doxxing ai danni del personale o dei familiari.
Il secondo fenomeno è lo swatting, una forma di intimidazione basata su false segnalazioni di emergenza alle forze dell’ordine. L’obiettivo è provocare un intervento presso l’abitazione o il luogo di lavoro della vittima attraverso una richiesta di soccorso fraudolenta. Il 38% delle organizzazioni italiane intervistate ha riferito episodi di questo tipo.
Le conseguenze possono essere rilevanti anche sul piano della salute. Secondo l’appendice italiana del rapporto, il 34% delle organizzazioni ha segnalato la necessità di trattamenti medici o psicologici e il 9% ha riportato trasferimenti dal luogo di lavoro, dall’ufficio o dall’abitazione.
In Italia il 76% delle aziende colpite ha pagato il riscatto
La pressione esercitata dai criminali si inserisce in uno scenario nel quale gli attacchi ripetuti rappresentano un problema significativo. Secondo Semperis, l’81% delle organizzazioni italiane del campione ha subito più di un attacco ransomware riuscito, mentre il 76% ha dichiarato di aver pagato il riscatto.
L’indagine evidenzia anche la scelta dei momenti nei quali colpire. Tutte le organizzazioni italiane intervistate hanno riferito almeno un attacco avvenuto durante le ore serali o nel fine settimana. Il 19% ha segnalato episodi durante le vacanze e l’11% dopo un evento aziendale significativo.
Gli orari possono costituire un vantaggio per gli attaccanti, soprattutto nelle organizzazioni che dispongono di personale IT e di sicurezza ridotto al di fuori dell’orario lavorativo.
Il pagamento del riscatto, inoltre, non garantisce che i criminali restituiscano tutte le informazioni sottratte, eliminino eventuali copie dei dati o rinuncino a ulteriori richieste di denaro.
Le conseguenze economiche e organizzative non riguardano soltanto il riscatto. Il 61% delle aziende italiane ha segnalato la cancellazione della polizza di assicurazione informatica o un aumento del suo costo, il 43% danni alla reputazione e il 37% licenziamenti, dimissioni o allontanamenti.
Intelligenza artificiale e ransomware: il 72% degli attacchi in Italia
Un altro elemento centrale del rapporto è il ruolo assunto dall’intelligenza artificiale nelle operazioni criminali. Nel campione italiano, il 72% delle organizzazioni ha riferito attacchi ransomware che hanno fatto ricorso all’intelligenza artificiale. L’83% ha inoltre segnalato attacchi nei quali i criminali hanno sfruttato gli agenti AI o i sistemi di intelligenza artificiale delle stesse vittime. Quest’ultimo dato evidenzia un rischio legato all’introduzione di strumenti AI nelle infrastrutture aziendali. Un agente dotato di autorizzazioni per accedere a documenti, applicazioni o sistemi interni può diventare un ulteriore punto di esposizione qualora un attaccante riesca a comprometterlo o a manipolarne il comportamento. L’intelligenza artificiale può anche offrire ai criminali strumenti per automatizzare alcune attività, elaborare messaggi fraudolenti e analizzare informazioni raccolte durante un’intrusione. Il rapporto non consente tuttavia di stabilire quali tecniche basate sull’AI siano state impiegate in ciascun episodio.
Anche le aziende utilizzano l’intelligenza artificiale per contrastare le minacce: il 48% delle organizzazioni italiane ha riferito un impiego efficace dell’AI nelle attività di rilevamento o risposta, mentre il 13% ha segnalato il fallimento di questi strumenti. A livello globale, Semperis riferisce che l’intelligenza artificiale è stata utilizzata, in qualche forma, nell’84% degli attacchi analizzati.
I sistemi di identità digitale sono tra gli obiettivi principali
L’accesso agli account aziendali costituisce uno degli elementi più importanti di un attacco ransomware. La compromissione di un sistema di gestione delle identità può permettere ai criminali di ottenere privilegi elevati, accedere a servizi aziendali e compromettere ulteriori risorse.
Secondo il report, il 91% degli attacchi rilevati nel campione italiano ha preso di mira le infrastrutture di identità. Tra i sistemi coinvolti figura Microsoft Entra ID, indicato nel 75% degli attacchi secondo il comunicato che accompagna la ricerca. Il problema riguarda anche la capacità delle aziende di ripristinare questi servizi dopo una compromissione.
In Italia, il 65% delle organizzazioni intervistate dispone di sistemi dedicati al backup delle identità e il 51% di strumenti per il ripristino automatico. Le procedure di disaster recovery comprendono il ripristino di Active Directory nel 71% dei casi, di Microsoft Entra ID nel 76% e di Okta nel 25%.
La perdita di controllo dei sistemi di identità può ostacolare il recupero delle altre infrastrutture. Per questo motivo, il ripristino dei dati non è necessariamente sufficiente a riportare un’organizzazione alla normale operatività.
Come cambia la difesa dagli attacchi ransomware
L’evoluzione delle estorsioni richiede una strategia di risposta che tenga conto sia della sicurezza dei sistemi sia della protezione delle persone.
Le aziende devono predisporre procedure di gestione degli incidenti che comprendano anche le intimidazioni contro il personale, con riferimenti chiari per segnalare minacce, tentativi di ricatto ed esposizione di informazioni personali.
Sul piano tecnico, risultano particolarmente importanti la protezione degli account privilegiati, l’autenticazione multifattore resistente al phishing, la verifica delle autorizzazioni assegnate agli agenti AI e la disponibilità di backup isolati dai sistemi principali. I piani di ripristino dovrebbero inoltre includere test specifici per Active Directory e gli altri servizi di identità, oltre a procedure di risposta operative nelle ore serali e nei giorni festivi.
La preparazione deve comprendere anche la gestione delle comunicazioni con i dipendenti e, nei casi più gravi, il coinvolgimento delle autorità competenti. Il ransomware può infatti assumere caratteristiche che vanno oltre il tradizionale incidente informatico: la compromissione di un’infrastruttura può trasformarsi in una minaccia diretta alla sicurezza e alla vita privata delle persone.
