Il ransomware resta una delle minacce più rilevanti per imprese, sanità, industria e servizi professionali. Nel primo trimestre del 2026, secondo il report State of Ransomware Q1 2026 di Check Point Research, oltre 70 siti di divulgazione di dati rubati hanno pubblicato 2.122 nuove vittime, un dato che rende il periodo il secondo primo trimestre più alto mai registrato per numero di organizzazioni esposte.
Il dato centrale, però, riguarda la struttura del fenomeno. Dopo una fase di forte frammentazione, l’ecosistema ransomware appare più concentrato: i primi 10 gruppi hanno rivendicato il 71,1% delle vittime del trimestre. La stessa indicazione emerge anche dal testo italiano del report, che parla di “meno gruppi” ma di “maggiore impatto” per le organizzazioni colpite.
Qilin resta il gruppo più attivo
Nel primo trimestre 2026, Qilin si conferma il gruppo ransomware più attivo per il terzo trimestre consecutivo, con 338 vittime pubblicate sui siti di leak. Il dato mostra una continuità operativa rilevante e conferma la capacità del gruppo di mantenere un ritmo elevato in un contesto sempre più competitivo.
Accanto a Qilin, Akira, The Gentlemen e LockBit hanno avuto un peso importante: insieme hanno rappresentato circa il 41% delle vittime del trimestre. Questo significa che una quota molto ampia dell’attività ransomware globale risulta oggi concentrata in poche operazioni con maggiore capacità tecnica, organizzativa e finanziaria.
The Gentlemen, il gruppo che cresce più rapidamente
Tra i casi più rilevanti del trimestre c’è The Gentlemen, passato da 40 vittime nel quarto trimestre 2025 a 166 nel primo trimestre 2026. La crescita ha portato il gruppo al terzo posto globale tra le operazioni ransomware più attive.
Secondo l’analisi di Check Point Research, il gruppo avrebbe beneficiato di accessi compromessi già disponibili su larga scala. Questo elemento cambia il modo in cui le organizzazioni devono leggere il rischio: in diversi casi, gli attaccanti non scelgono il bersaglio solo per settore o valore economico, ma sfruttano infrastrutture già esposte, credenziali disponibili o punti di accesso preesistenti.
LockBit torna nella fascia alta
Il report segnala anche il ritorno di LockBit 5.0, che nel primo trimestre 2026 ha pubblicato 163 vittime, con una crescita del 106% rispetto al trimestre precedente. LockBit rientra così nella fascia più alta delle operazioni ransomware globali, dopo l’intervento delle forze dell’ordine che nel 2024 aveva colpito la sua infrastruttura.
Il cambiamento più rilevante riguarda la distribuzione geografica. Storicamente molto concentrato sugli Stati Uniti, LockBit mostra ora una presenza più ampia tra Europa, America Latina e altre aree. Per le aziende internazionali questo scenario amplia la superficie di rischio, perché la pressione investigativa in alcune giurisdizioni può spostare gli attacchi verso mercati diversi, senza ridurre il volume complessivo della minaccia.
Stati Uniti ancora al centro, ma il rischio segue gli accessi disponibili
Gli Stati Uniti restano il Paese più colpito, con il 49,6% delle vittime pubblicate nel trimestre. Il report segnala però anche l’ingresso della Thailandia tra i Paesi più colpiti, in gran parte a causa dell’attività di The Gentlemen.
Questo dato rafforza un punto importante: il ransomware non colpisce solo dove il valore economico appare più alto. In molti casi segue la disponibilità di accessi compromessi, VPN esposte, configurazioni deboli, servizi cloud non protetti o credenziali già sottratte. Per questo motivo, la valutazione del rischio non può dipendere solo dal settore o dal Paese in cui opera l’azienda.
I settori più esposti
Le organizzazioni più sensibili ai fermi operativi restano tra gli obiettivi principali. Il report cita in particolare produzione, servizi alle imprese, sanità e settori industriali, cioè ambiti nei quali l’interruzione dei sistemi può produrre danni economici, operativi e reputazionali in tempi molto brevi.
Il ransomware moderno non punta più solo alla cifratura dei dati. Le campagne più strutturate combinano furto di informazioni, estorsione, pressione reputazionale e minacce di pubblicazione. Questo rende essenziale una difesa che parta dalla riduzione dell’esposizione prima dell’attacco.
Perché la concentrazione rende il ransomware più pericoloso
La riduzione del numero di gruppi attivi potrebbe sembrare un segnale positivo. In realtà, la concentrazione dell’attività in mano a operatori più forti può aumentare l’impatto dei singoli incidenti. Gruppi più grandi dispongono spesso di affiliati, strumenti, infrastrutture, processi di estorsione e canali di negoziazione più maturi.
Per le aziende, questo significa che la priorità deve spostarsi dalla sola risposta all’incidente alla prevenzione dell’accesso iniziale. Le misure più rilevanti riguardano la protezione delle identità, il controllo degli accessi remoti, la segmentazione della rete, la gestione delle vulnerabilità e il monitoraggio dei percorsi che un attaccante potrebbe sfruttare per muoversi nei sistemi interni.
Le difese da rafforzare
Il report richiama l’importanza di una strategia di sicurezza capace di coprire rete, cloud, data center, endpoint, browser, posta elettronica e applicazioni SaaS. I vettori più comuni restano infrastrutture esposte, servizi cloud configurati in modo debole, accessi remoti vulnerabili, phishing e credenziali compromesse.
Per ridurre il rischio, le organizzazioni devono identificare in modo continuo le risorse esposte, verificare quali vulnerabilità risultano sfruttabili in scenari reali e limitare i movimenti laterali. L’approccio Zero Trust, la protezione degli accessi privati, la sicurezza SASE, il controllo delle identità e la segmentazione restano elementi centrali per contenere l’impatto nel caso in cui un account o un dispositivo venga compromesso.
