Ransomware 2026: come sta cambiando la minaccia secondo Kaspersky
In occasione dell’Anti-Ransomware Day di quest’anno, Kaspersky ha pubblicato il suo report annuale sull’evoluzione del ransomware a livello globale. L’azienda monitora da anni questo fenomeno attraverso la propria rete di threat intelligence, la Kaspersky Security Network, ed è considerata una delle fonti più autorevoli per comprendere come si muovono i gruppi cybercriminali.
Il primo dato che emerge è che nel 2025 la percentuale di organizzazioni colpite da ransomware è diminuita in tutte le regioni del mondo rispetto all’anno precedente. Sembra essere questo un dato rassicurante. Ma la realtà è più complessa. Gli attacchi restano frequenti e dannosi, e colpiscono con particolare intensità alcuni settori.
Nel solo comparto manifatturiero, secondo le stime di Kaspersky insieme a VDC Research, i danni economici legati al ransomware avrebbero superato i 18 miliardi di dollari nei primi tre trimestri dell’anno.
Gli EDR Killer rendono gli attacchi ancora più efficaci
Una delle tendenze più rilevanti riguarda il modo in cui gli attaccanti neutralizzano le difese aziendali prima ancora di lanciare il payload. Gli strumenti chiamati “EDR killer” sono ormai una componente standard degli attacchi. Sfruttano driver firmati ma vulnerabili per disattivare gli agenti di sicurezza, una tecnica nota come BYOVD (Bring Your Own Vulnerable Driver). L’evasione, insomma, non è più un’eccezione ma una fase pianificata dell’attacco.
Ransomware post-quantistico: la previsione del 2025 di Kaspersky trova conferma
Il report segnala anche un salto tecnologico significativo, ovvero, la comparsa di ransomware che utilizza crittografia post-quantistica. La famiglia PE32, individuata da Kaspersky, adotta lo standard ML-KEM basato sull’algoritmo Kyber1024, pensato per resistere sia ai computer classici sia a quelli quantistici. È la conferma di una previsione che gli esperti Kaspersky avevano formulato già nel 2025.
L’estorsione senza cifratura diventa sempre più diffusa
Parallelamente, cresce un modello di attacco diverso l’estorsione senza crittografia. Con la quota di riscatti effettivamente pagati scesa al 28% nel 2025, molti gruppi, tra cui ShinyHunters, hanno scelto di abbandonare la cifratura dei file. Puntano invece sul furto di dati sensibili e sulla minaccia di pubblicazione. Per le aziende colpite, questo cambia la natura del rischio: i backup proteggono dalla perdita dei dati, ma non da una loro divulgazione pubblica.
Sul fronte degli accessi iniziali, Kaspersky descrive un mercato ormai industrializzato. Gli initial access broker vendono accessi già compromessi a reti aziendali, principalmente attraverso RDP, VPN e, sempre più spesso, portali RDWeb. Le forze dell’ordine internazionali continuano a intervenire, come dimostrano i sequestri dei forum underground RAMP a gennaio e LeakBase a marzo 2026, ma nuovi spazi tendono a colmare rapidamente il vuoto lasciato.
Tra i gruppi più attivi nel 2025, Kaspersky segnala Qilin al primo posto, seguito da Clop e Akira, mentre tra i nuovi attori del 2026 spicca The Gentlemen, che mostra un approccio insolitamente strutturato e professionale.
Le strategie consigliate da Kaspersky
Di fronte a un panorama delle minacce cosi complesso e sofisticato, Kaspersky sottolinea l’importanza di una protezione efficace che passi attraverso una strategia multilivello, in grado di ridurre la superficie d’attacco, limitare i movimenti laterali degli aggressori e garantire la continuità operativa anche in caso di compromissione.
Tra le priorità individuate dagli esperti figurano una gestione tempestiva delle patch per eliminare le vulnerabilità note, la protezione rigorosa degli accessi remoti mediante autenticazione multifattore (MFA), la segmentazione della rete per contenere la propagazione degli attacchi e l’adozione di backup immutabili, regolarmente verificati attraverso test di ripristino.
A queste misure tecnologiche si affianca un elemento altrettanto strategico, cioè la formazione continua del personale, fondamentale per riconoscere tentativi di phishing, tecniche di social engineering e altre minacce che sfruttano il fattore umano come principale punto di ingresso nelle infrastrutture aziendali.
Secondo Kaspersky, solo un approccio integrato che combini tecnologie avanzate, processi di sicurezza ben definiti e una costante attività di sensibilizzazione degli utenti può consentire alle organizzazioni di affrontare efficacemente l’evoluzione del ransomware e delle moderne campagne di estorsione informatica.
Clicca per approfondire