Il ransomware resta la minaccia informatica numero uno per le organizzazioni italiane. I dati del primo trimestre 2026 confermano un trend in crescita: secondo l’Operational Summary di ACN, a febbraio 2026 gli incidenti cyber in Italia hanno registrato un aumento del 60% rispetto al mese precedente, con un impatto sempre più grave su aziende, enti pubblici e infrastrutture critiche.
Il panorama ransomware in Italia nel 2026
Secondo i rapporti operativi di ACN (Agenzia per la Cybersicurezza Nazionale), nel 2025 l’Italia si è confermata tra i Paesi europei più colpiti da attacchi ransomware, classificandosi al quarto posto in Europa con il 12% dei casi continentali. Nel primo semestre 2025 sono stati registrati 91 attacchi ransomware, sostanzialmente in linea con lo stesso periodo del 2024, mentre nel secondo semestre si è osservato un lieve incremento a 54 casi contro i 48 del 2024. Il 2026 si è aperto con un’ulteriore accelerazione: gli operatori di ransomware hanno affinato le tecniche, ridotto i tempi di compromissione e ampliato il raggio delle vittime.
I settori più colpiti in Italia sono il manifatturiero, la vendita al dettaglio, il comparto tecnologico e la sanità, quest’ultima con un aumento degli attacchi del 40% nel 2025. Le PMI rappresentano la grande maggioranza delle vittime, spesso per la carenza di misure di sicurezza di base e la mancanza di personale dedicato alla cybersecurity.
Come funziona un attacco ransomware
Per difendersi efficacemente è necessario comprendere il meccanismo di un attacco ransomware. La sequenza tipica si articola in fasi ben definite.
Accesso iniziale
Il vettore di ingresso più comune resta il phishing via email, spesso con allegati malevoli o link a pagine contraffatte. Nel 2026 si osserva un forte aumento dello sfruttamento di vulnerabilità note nei dispositivi esposti su Internet: VPN, firewall, piattaforme di accesso remoto. I gruppi ransomware acquistano credenziali compromesse sui mercati del dark web o le ottengono tramite infostealer già presenti sulle postazioni degli utenti.
Movimento laterale e escalation
Una volta dentro la rete, gli attaccanti si muovono lateralmente per ottenere privilegi elevati, tipicamente credenziali di amministratore di dominio. Utilizzano strumenti legittimi già presenti nei sistemi (tecnica nota come living off the land): PowerShell, PsExec, Remote Desktop Protocol. Questa fase può durare giorni o settimane, durante le quali l’attaccante mappa l’infrastruttura e identifica i dati di maggior valore.
Esfiltrazione e cifratura
Prima di cifrare i dati, nella quasi totalità dei casi i gruppi ransomware copiano all’esterno grandi volumi di informazioni riservate. Questo consente la cosiddetta doppia estorsione: se la vittima non paga per decifrare i dati, viene minacciata la pubblicazione delle informazioni rubate su siti dedicati (leak site). Alcuni gruppi praticano anche la tripla estorsione, contattando direttamente clienti e partner della vittima.
Infine, il ransomware viene distribuito su tutti i sistemi raggiungibili e i dati vengono cifrati. A quel punto appare la richiesta di riscatto, solitamente in criptovalute.
I gruppi ransomware più attivi contro obiettivi italiani
Il panorama dei gruppi ransomware è in continua evoluzione. Nel 2025 e nei primi mesi del 2026, i gruppi più attivi contro obiettivi italiani includono:
- LockBit: nonostante l’operazione internazionale Cronos del febbraio 2024, che ha portato al sequestro dell’infrastruttura da parte delle forze dell’ordine di 11 Paesi, il gruppo ha tentato di riprendere le attività con nuove varianti e continua a rivendicare vittime in Italia.
- RansomHub: gruppo emerso nel febbraio 2024, divenuto rapidamente il più attivo a livello globale nella seconda metà del 2024 con oltre 600 organizzazioni colpite. Opera come Ransomware-as-a-Service e ha attratto affiliati da gruppi smantellati come ALPHV/BlackCat.
- Akira: in forte crescita, con oltre 1.100 attacchi rivendicati a livello globale. Specializzato nello sfruttamento di vulnerabilità nei dispositivi VPN (in particolare Cisco ASA) e nell’uso di credenziali compromesse.
- FOG: tra i gruppi più attivi per numero di rivendicazioni nei rapporti ACN del 2025, con un focus su infrastrutture aziendali e servizi cloud.
Tra i gruppi che hanno cessato le attività nel 2025: 8Base, smantellato nel febbraio 2025 dall’operazione internazionale Phobos Aetor con l’arresto di quattro membri e il sequestro di 27 server; e Black Basta, collassato dopo una fuga interna di chat riservate che ha portato allo scioglimento del gruppo, con il presunto leader inserito nella lista dei ricercati di Europol e Interpol.
Questi gruppi operano con il modello Ransomware-as-a-Service (RaaS): sviluppano il malware e lo mettono a disposizione di affiliati che conducono materialmente gli attacchi, dividendo i proventi del riscatto.
Attacchi recenti in Italia: casi significativi
Tra la fine del 2025 e l’inizio del 2026, diversi attacchi ransomware hanno colpito organizzazioni italiane con conseguenze rilevanti:
- Attacchi a strutture sanitarie con blocco dei sistemi di prenotazione e accesso alle cartelle cliniche, con tempi di ripristino superiori a due settimane.
- Compromissione di fornitori IT che gestiscono servizi per decine di comuni italiani, con effetto a cascata su molteplici enti.
- Attacchi a studi professionali (commercialisti, avvocati) con esfiltrazione di dati fiscali e giudiziari dei clienti.
- Colpite diverse aziende manifatturiere del Nord-Est con blocco delle linee produttive e danni economici stimati in milioni di euro.
In tutti questi casi, il vettore iniziale è stato lo sfruttamento di vulnerabilità note non corrette o credenziali compromesse.
Come proteggersi: le misure fondamentali
La protezione dal ransomware non richiede tecnologie esotiche, ma l’applicazione rigorosa di misure di sicurezza di base. Ecco le azioni prioritarie secondo le raccomandazioni di ACN e CSIRT Italia.
Backup efficaci
Implementare la regola 3-2-1: tre copie dei dati, su due supporti diversi, di cui una offline o immutabile. I backup devono essere testati regolarmente con esercitazioni di ripristino. I backup collegati alla rete e accessibili con le stesse credenziali dei sistemi di produzione vengono cifrati insieme ai dati originali: è il primo errore da evitare.
Patch management
Aggiornare tempestivamente tutti i sistemi, con priorità ai dispositivi esposti su Internet (VPN, firewall, server web, piattaforme di accesso remoto). Il CSIRT Italia pubblica regolarmente bollettini sulle vulnerabilità attivamente sfruttate: è fondamentale monitorarli e reagire rapidamente.
Autenticazione multi-fattore
Attivare l’MFA su tutti gli accessi critici: VPN, email, console di amministrazione, accessi RDP, sistemi cloud. Questo singolo intervento blocca la maggior parte dei tentativi di accesso con credenziali rubate.
Segmentazione di rete
Separare le reti in segmenti distinti per limitare il movimento laterale degli attaccanti. I sistemi di backup, i sistemi critici e le postazioni utente devono trovarsi su segmenti diversi con controlli di accesso tra di essi.
Formazione del personale
Il fattore umano resta determinante. Simulazioni di phishing periodiche, formazione continua sulle minacce attuali e procedure chiare per la segnalazione di email sospette riducono significativamente il rischio di compromissione iniziale.
Il ruolo di ACN e CSIRT Italia nella risposta al ransomware
L’Agenzia per la Cybersicurezza Nazionale, attraverso il CSIRT Italia, svolge un ruolo centrale nella gestione della minaccia ransomware a livello nazionale. Le attività principali comprendono:
- Ricezione e gestione delle notifiche di incidenti da parte dei soggetti obbligati (NIS2, Perimetro di Sicurezza Nazionale Cibernetica).
- Pubblicazione di bollettini e alert sulle vulnerabilità attivamente sfruttate e sulle campagne ransomware in corso.
- Supporto tecnico alle vittime nella fase di contenimento e ripristino.
- Coordinamento con le forze dell’ordine (Polizia Postale) e con i CSIRT degli altri Paesi europei.
- Diffusione di linee guida e buone pratiche per la prevenzione.
Tutte le organizzazioni, anche quelle non obbligate dalla NIS2, possono e dovrebbero segnalare gli incidenti ransomware al CSIRT Italia tramite il portale csirt.gov.it. La segnalazione tempestiva consente al CSIRT di identificare campagne in corso e allertare altre potenziali vittime.
Pagare il riscatto: perché è sconsigliato
La posizione di ACN e delle forze dell’ordine è chiara: pagare il riscatto è fortemente sconsigliato. Le ragioni sono concrete:
- Non esiste garanzia di ottenere la chiave di decifratura funzionante.
- I dati esfiltrati possono essere comunque pubblicati o rivenduti.
- Il pagamento finanzia direttamente le organizzazioni criminali e le incentiva a proseguire.
- Le vittime che pagano vengono spesso colpite nuovamente, perché considerate bersagli redditizi.
L’unica protezione reale è la prevenzione e la capacità di ripristinare i propri sistemi senza dipendere dalla buona volontà dei criminali.
Conclusione
Il ransomware non è una minaccia che si può ignorare sperando di non essere colpiti. Nel 2026 gli attacchi sono più frequenti, più sofisticati e più dannosi. La buona notizia è che le contromisure efficaci sono note e accessibili: backup immutabili, aggiornamenti tempestivi, autenticazione forte, segmentazione di rete e formazione del personale. Chi investe in queste misure oggi riduce drasticamente il rischio di trovarsi domani con i propri sistemi cifrati e un countdown sullo schermo.