Lo scenario ransomware in Italia nel 2026
Nel primo semestre 2026, il CERT-AGID ha registrato un aumento del 31% degli incidenti ransomware rispetto allo stesso periodo del 2025. L'Italia rimane uno dei Paesi europei più colpiti, soprattutto nel manifatturiero, nei servizi professionali e nella distribuzione. Come illustrato nella panoramica sulla cybersecurity in Italia 2026, gli attacchi crescono ma le difese delle PMI rimangono insufficienti.
Il modello Ransomware-as-a-Service (RaaS) ha trasformato il cybercrime in un'industria scalabile: i "core developer" sviluppano il malware e gestiscono l'infrastruttura; gli "affiliati" conducono gli attacchi e trattengono il 70-80% del riscatto. Non servono competenze avanzate: basta iscriversi a una piattaforma criminale e scegliere i target.
Questo ha abbassato radicalmente la barriera d'ingresso: in Italia, il 72% degli attacchi ransomware nel 2026 coinvolge aziende con meno di 250 dipendenti (fonte: Clusit/ACN mid-year 2026). Le PMI sono preferite perché offrono dati preziosi e difese minime.
I gruppi ransomware più attivi contro target italiani
RansomHub — il gruppo dominante
Emerso a inizio 2024 dopo il takedown di ALPHV/BlackCat da parte dell'FBI, RansomHub è diventato il gruppo RaaS più attivo a livello globale in meno di dodici mesi. In Italia ha colpito prevalentemente il settore manifatturiero e i servizi logistici. Usa la double extortion: cifra i file e minaccia di pubblicare i dati rubati sul proprio leak site se il riscatto non viene pagato entro la scadenza.
Play Ransomware (PlayCrypt)
Play è attivo dal 2022 e ha intensificato gli attacchi in Europa nel 2025-2026. Non mantiene un blog di leak pubblico ma comunica direttamente con le vittime. È noto per sfruttare vulnerabilità in Microsoft Exchange, FortiOS e Cisco AnyConnect. In Italia ha preso di mira studi professionali e PMI del settore tecnico-ingegneristico.
Akira — targeting PMI a basso riscatto medio
Akira è uno dei gruppi più aggressivi nel targeting PMI: il riscatto medio richiesto è inferiore rispetto ai grandi operatori (range tipico: 50.000–200.000 €), il che aumenta la probabilità di pagamento. Sfrutta principalmente credenziali VPN rubate e vulnerabilità in software di accesso remoto come Cisco ASA. Ha una particolare predilezione per le aziende senza monitoring 24/7, che non riescono a rilevare il lateral movement prima della cifratura.
Cl0p — campagne su software di file transfer
Cl0p ha cambiato tattica rispetto ai ransomware tradizionali: invece di cifrare i file in loco, sfrutta vulnerabilità zero-day in software di file transfer come MOVEit Transfer e GoAnywhere MFT per estrarre massicciamente i dati. Molte PMI italiane che usano questi software per scambi con clienti o partner sono state colpite indirettamente, senza nemmeno avere i file cifrati.
Se nella tua rete usi software di file transfer come MOVEit, GoAnywhere, Kiteworks o simili, verifica che le patch di sicurezza siano aggiornate. Cl0p scansiona attivamente Internet alla ricerca di versioni vulnerabili e non aspetta che le aziende aggiornino.
I settori italiani più colpiti
- Manifatturiero — 26% degli attacchi: convergenza OT/IT, sistemi SCADA accessibili da Internet, scarsa consapevolezza del personale
- Servizi professionali (legali, fiscali, consulenza) — 18%: dati altamente sensibili dei clienti, nessun SOC interno, alto impatto reputazionale
- Distribuzione e logistica — 14%: supply chain interconnessa, sistemi ERP con esposizioni web non gestite
- Pubblica Amministrazione locale — 12%: sistemi obsoleti, patch management inesistente, alta visibilità mediatica dell'attacco
- Sanità privata e cliniche — 11%: dati sanitari ad alto valore, pressione a pagare per garantire continuità delle cure
Come avviene un attacco ransomware: il kill chain
Il kill chain tipico di un attacco ransomware a una PMI italiana si sviluppa in 5 fasi. Comprenderle è fondamentale per capire dove intervenire con le contromisure:
- Initial Access — phishing con allegato malevolo (PDF, macro Office, link a sito compromesso) oppure sfruttamento di VPN senza MFA, RDP esposto su Internet o credenziali rubate acquistate nel dark web
- Persistence & Lateral Movement — l'attaccante installa una backdoor, resta silenzioso per giorni, usa strumenti come BloodHound per mappare Active Directory ed elevare i privilegi fino a Domain Admin
- Reconnaissance interna — identificazione di backup, NAS, share di rete, server di posta, sistemi ERP: l'obiettivo è capire cosa ha valore e come cifrarlo/estrarlo nel modo più dannoso
- Data Exfiltration — esfiltrazione dei dati più sensibili verso server controllati dall'attaccante, usata come leva per la double extortion
- Encryption & Ransom Note — attivazione del payload, cifratura di tutti i file raggiungibili inclusi i backup accessibili in rete, comparsa del ransom note
Il tempo medio tra l'accesso iniziale e la cifratura è 6,5 giorni (Sophos 2025). Un servizio MDR con monitoring 24/7 ha quindi tutto il tempo per rilevare l'attaccante durante il lateral movement — molto prima che i file vengano cifrati. Questa è la differenza tra un incidente gestito e un disastro operativo.
Il 97% degli attacchi ransomware rilevati da FrameSec nei propri clienti è stato intercettato prima della fase di cifratura, grazie alla detection comportamentale sul traffico interno e sugli endpoint. Il detection tardivo è quasi sempre il risultato dell'assenza di monitoring continuativo.
Come proteggere la tua PMI: priorità concrete
Non esiste una singola misura che blocca il ransomware: servono controlli a più livelli. La priorità dipende dalla maturità attuale della tua organizzazione, ma questi sei punti coprono il 95% dei vettori di attacco noti:
- MFA su tutti gli accessi remoti — VPN, RDP, Microsoft 365, portali web. Rende inutili il 99% delle credenziali rubate
- Backup 3-2-1 con copia offline verificata — tre copie, due media diversi, una copia air-gapped o immutabile. Il servizio Backup & Recovery FrameSec include test di ripristino trimestrali su ambiente isolato
- EDR su tutti gli endpoint — l'Endpoint Security con EDR/XDR blocca il comportamento del ransomware anche senza signature, rilevando la cifratura di massa in tempo reale
- Patch management sistematico — il 60% degli attacchi sfrutta vulnerabilità note con patch disponibili da mesi. VPN, firewall, Exchange, software di file transfer vanno aggiornati senza eccezioni
- Segmentazione della rete — isolare i backup, i sistemi OT e i server critici riduce drasticamente il blast radius di un'infezione
- Piano di incident response documentato — chi chiami? Quando notifichi il Garante? Come ripristini? Il piano serve prima dell'attacco, non durante. La guida cosa fare nelle prime 72 ore dopo un attacco è il punto di partenza pratico
Testa il backup ogni trimestre con un ripristino reale su ambiente isolato. Un backup non testato è una promessa, non una garanzia. Molte PMI scoprono — solo durante un attacco — che il backup era corrotto o che i tempi di ripristino erano incompatibili con la continuità operativa.
Domande frequenti
Quali sono i gruppi ransomware più attivi in Italia nel 2026?
RansomHub, Play, Akira e Cl0p sono i più attivi contro target italiani. LockBit ha perso centralità dopo le operazioni delle forze dell'ordine nel 2024 ma i suoi affiliati hanno migrato verso altri RaaS. Il modello RaaS mantiene alta la minaccia indipendentemente dai singoli takedown.
Come avviene tecnicamente un attacco ransomware in una PMI?
Il vettore più comune è il phishing o le credenziali VPN rubate. Dopo l'accesso iniziale l'attaccante si muove lateralmente per settimane prima di attivare il ransomware. Il tempo medio tra accesso e cifratura è 6,5 giorni — sufficiente per rilevarlo con un MDR attivo.
Pagare il riscatto conviene?
No. Solo il 65% delle aziende recupera tutti i file anche pagando. Il pagamento finanzia future operazioni criminali e potrebbe violare sanzioni internazionali. La prevenzione con backup verificato, EDR e monitoring 24/7 è l'unica difesa realmente efficace.