Il ransomware non somiglia più a quello di qualche anno fa: meno blocchi spettacolari dei sistemi, più furti silenziosi di dati e un uso sempre più disinvolto dell’intelligenza artificiale generativa per velocizzare ogni fase dell’attacco. È la fotografia scattata dal ThreatLabz 2026 Ransomware Report, il rapporto di Zscaler (NASDAQ: ZS) presentato il 30 settembre 2026, basato sulla telemetria dell’azienda e sulle analisi del suo team di ricerca e riferito all’attività dei gruppi criminali tra aprile 2025 e marzo 2026.
Il dato che apre il documento è anche il più impressionante: il furto di dati legato al ransomware nel 2026 è cresciuto di oltre il 275% su base annua, fino a 896,2 terabyte di informazioni sottratte, quasi 900 terabyte, pari a circa 90 volte la collezione a stampa della Library of Congress degli Stati Uniti. Sul piano economico, le transazioni su blockchain associate ai pagamenti di riscatti hanno raggiunto 328 milioni di dollari, mentre il riscatto medio è salito del 5,3% rispetto all’anno precedente, arrivando a 431.995 dollari. Numeri che dicono una cosa semplice: il modello continua a rendere, e rende ancora di più quando alla minaccia di bloccare i sistemi si somma quella di pubblicare o vendere ciò che è stato rubato.
LEGGI ANCHE: Zscaler porta gli agenti AI nel SOC: dal triage degli alert al contenimento degli attacchi
Ransomware 2026: dalla cifratura al furto di dati
Il cambio di strategia è spiegato con chiarezza da Deepen Desai, Executive Vice President of Cybersecurity di Zscaler, secondo cui l’estorsione efficace si sta spostando dalla cifratura dei file, che provoca interruzioni visibili all’attività, verso furti di dati meno appariscenti ma più dannosi. Gli attaccanti usano la GenAI per accelerare le operazioni e puntano a impadronirsi di proprietà intellettuale, informazioni sui clienti e altri dati sensibili, perché è la prospettiva di vederli esposti a spingere le aziende a pagare.
Cambia anche la scelta delle persone da colpire: i profili di livello manageriale o superiore rappresentano il 62% delle vittime degli attacchi, un segnale evidente dell’attenzione verso i dipendenti con ruoli privilegiati e influenza sul business, quelli che hanno accesso a informazioni di valore e capacità di autorizzare operazioni.
A rendere tutto più difficile da individuare è l’abuso di strumenti aziendali considerati affidabili: il report segnala in particolare Microsoft Teams e Quick Assist, sfruttati per facilitare l’ingegneria sociale, il movimento laterale, il furto di dati e la cifratura dei file. Quando l’intruso parla con la voce di un collega o di un tecnico dell’assistenza, e lo fa attraverso piattaforme che l’azienda stessa ha approvato, distinguere l’attività malevola dal traffico normale diventa molto più complicato.
Nella stessa direzione va il crescente ricorso a strumenti basati su script: JavaScript, PowerShell, Python e altri linguaggi permettono agli attaccanti di sviluppare nuovo software più rapidamente e di confondersi con le attività legittime. Il quadro per settori e aree geografiche conferma una minaccia diffusa. Manifattura e tecnologia restano i comparti più colpiti, mentre le crescite più rapide su base annua riguardano il trasporto merci e la logistica (+725%) e le utility (+622%).
Ransomware, cresce un ecosistema criminale frammentato
Gli Stati Uniti rimangono il primo bersaglio, con il 50,7% dell’attività osservata, davanti a Canada (4,8%), Germania (4,3%) e Regno Unito (4,1%); l’Italia non compare tra i Paesi citati nel comunicato, ma la dinamica descritta riguarda qualunque organizzazione che custodisca dati di valore. Anche l’ecosistema criminale appare in movimento. ThreatLabz ha tracciato 7.366 vittime elencate sui siti di leak dei gruppi ransomware, appena il 3% in meno rispetto all’anno precedente, il che indica che i volumi restano elevati nonostante i continui scossoni tra le organizzazioni.
Qilin, Akira e INC Ransom da sole hanno inciso per il 34% delle vittime rese note, ma nove dei primi quindici gruppi per numero di vittime erano nuovi nella classifica e i ricercatori hanno individuato 52 gruppi diventati attivi nell’ultimo anno. Una frammentazione che rende più difficile seguire le tracce degli attori e costringe i difensori a concentrarsi sui comportamenti più che sui singoli nomi.
LEGGI ANCHE: Zscaler, lo Zero Trust alla prova degli agenti AI
Come difendersi dai nuovi attacchi ransomware
Che cosa ne discende per le aziende? Secondo Zscaler, i team di sicurezza devono fermare questi attacchi nelle fasi iniziali, riducendo le possibilità di accesso iniziale, limitando il movimento laterale e impedendo l’esfiltrazione dei dati. Tradotto in pratica, e rimanendo nel campo delle buone prassi generali, significa presidiare i flussi di dati in uscita, proteggere in modo rafforzato gli account di dirigenti e utenti privilegiati, controllare l’uso di strumenti come Teams e di quelli di assistenza remota, e formare le persone a riconoscere richieste di supporto insolite.
Significa anche ripensare l’architettura: un approccio Zero Trust che limiti i movimenti laterali, in linea con la proposta della piattaforma Zero Trust Exchange di Zscaler, riduce lo spazio di manovra di chi riesce comunque a entrare. Il messaggio di fondo è che backup e ripristino, pur indispensabili, non bastano più: se il vero ricatto è la divulgazione dei dati, la difesa deve cominciare prima che i dati lascino l’azienda.
LEGGI ANCHE: Zscaler, come superare il gap nella resilienza informatica italiana
