Semperis, azienda specializzata in cyber resilience e risposta alle crisi basata sulla protezione delle identità digitali, ha pubblicato i risultati del suo report annuale globale sul ransomware, dal quale emerge il ruolo sempre più significativo dell’intelligenza artificiale nell’ecosistema del ransomware. Lo studio rivela che gli attaccanti ricorrono con maggiore frequenza alla minaccia di violenza fisica contro i dipendenti delle aziende per ottenere il pagamento del riscatto e, in oltre la metà dei casi segnalati, hanno effettivamente dato seguito alle minacce. Per questo report sono state coinvolte esclusivamente organizzazioni colpite da gruppi ransomware negli ultimi 12 mesi.
“Un attaccante ha un solo obiettivo: vuole ottenere qualcosa dalla vittima. E l’unico modo per riuscirci è fare in modo che il costo di opporsi alle sue richieste diventi superiore a quello di cedere”, ha dichiarato Chris Inglis, primo U.S. National Cyber Director e Strategic Advisor di Semperis. “Mettere a rischio l’incolumità fisica delle persone è il fenomeno più recente, perché ormai sono state sfruttate quasi tutte le altre forme di pressione”.
Il 2026 Ransomware Risk Report ha rilevato che, in quasi il 25% degli attacchi registrati negli Stati Uniti, Regno Unito, Francia, Germania, Italia, Spagna, Singapore, Canada e Australia, i criminali informatici hanno fatto ricorso a forme di intimidazione psicologica contro le vittime. Nel 53% dei casi, le vittime hanno riferito che gli attaccanti hanno effettivamente dato seguito alle minacce; nel 23% dei casi, le vittime o i loro familiari sono stati oggetto di swatting, ovvero false segnalazioni alle forze dell’ordine finalizzate a provocare interventi armati presso la loro abitazione; il 25% delle vittime ha dovuto ricorrere a supporto psicologico o medico in seguito all’attacco ransomware; il 24% delle vittime o delle loro famiglie ha infine assunto personale addetto alla sicurezza privata.
“Il personale IT e cybersecurity opera già in condizioni caratterizzate da livelli di stress molto elevati”, ha affermato Tim Beasley, Senior Incident Response Consultant di Semperis. “Un attacco ransomware porta questa pressione a un livello completamente diverso. Ho visto CISO dire: ‘Basta, lascio. Non posso più farlo. Non ne vale la pena’. Ho visto persone abbandonare il proprio posto di lavoro perché il management riteneva che avessero gestito male qualcosa, contribuendo così alla violazione. Tutto questo ha un forte impatto sulla salute psicologica delle persone”.
Principali risultati del report globale
- L’IA sta cambiando lo scenario del ransomware. Nell’84% degli attacchi, i criminali informatici hanno utilizzato l’intelligenza artificiale come strumento offensivo.
- Gli attaccanti minacciano sempre più spesso i dipendenti delle aziende colpite e le loro famiglie. Nel complesso, il 37% degli attacchi ha comportato minacce psicologiche o fisiche contro il personale.
- Continuano gli attacchi ripetuti e i pagamenti multipli. In quasi il 70% dei casi, le vittime di ransomware sono state prese di mira più volte, mentre il 31% ha effettuato più di un pagamento agli attaccanti.
- Le infrastrutture di identità restano uno degli obiettivi principali: la preparazione al loro ripristino è ancora insufficiente. Complessivamente, l’87% degli attacchi ransomware ha preso di mira sistemi di identità come Active Directory (AD), Entra ID e Okta. Tuttavia, solo circa la metà delle aziende intervistate dispone di backup dedicati dei sistemi di identità, soluzioni automatizzate per il loro ripristino e procedure di risposta alle crisi specifiche per le infrastrutture di identità.
“I criminali informatici evolvono continuamente le proprie tattiche”, ha dichiarato Mickey Bresman, CEO di Semperis. “Quando è iniziata la prima ondata di attacchi ransomware, l’obiettivo principale era la cifratura dei dati. Poi, con la diffusione dei sistemi di backup e ripristino, che hanno permesso alle aziende di resistere maggiormente alle richieste di riscatto, abbiamo assistito alla nascita della doppia estorsione: alla cifratura si sono aggiunti il furto dei dati e la minaccia di divulgarli o venderli. È quindi naturale aspettarsi che gli attaccanti continuino a cercare nuove forme di pressione per costringere le vittime a pagare”.
Nonostante le infrastrutture di identità rappresentino uno degli obiettivi principali dei criminali informatici, nella maggior parte delle organizzazioni la loro protezione continua a presentare lacune significative. Quasi il 75% degli attacchi ransomware andati a buon fine ha preso di mira o sfruttato i sistemi di identità. Solo il 50% delle aziende dispone di sistemi di backup specifici per le identità e meno della metà ha automatizzato il ripristino dei sistemi di identità. Un dato particolarmente preoccupante è che il 60% dei piani di disaster recovery o di risposta alle crisi non prevede procedure dedicate al ripristino dei sistemi di identità.
“L’identità è la chiave di accesso a tutto. Se un attaccante riesce a impossessarsi di un’identità, ha la strada spianata. Inoltre, quando parliamo di insider threat non dobbiamo pensare necessariamente a una persona interna all’organizzazione che abusa direttamente dei propri privilegi”, ha spiegato Inglis. “Spesso si tratta di una persona interna che agisce per conto di un attaccante esterno, consentendogli di sfruttare i privilegi di un insider. In altri casi può essere un processo che sfugge al controllo. In tutte queste situazioni, il problema centrale rimane l’identità”.
Italia: l’IA amplifica gli attacchi e il ransomware colpisce anche le persone
Tra le organizzazioni italiane intervistate, tutte già vittime di ransomware negli ultimi 12 mesi, il 72% ha subito attacchi basati sull’intelligenza artificiale e l’83% attacchi che hanno sfruttato gli agenti o i sistemi IA della vittima. Le conseguenze si estendono anche alla sfera personale: il 41% ha segnalato intimidazioni psicologiche e il 63% episodi di doxxing, ossia la diffusione di informazioni personali riservate di dipendenti o familiari. Sul fronte delle identità digitali, il 75% degli attacchi ha preso di mira Microsoft Entra ID. Tutte le organizzazioni italiane del campione hanno inoltre subito almeno un attacco nelle ore serali o durante il weekend, evidenziando la necessità di garantire capacità di risposta e ripristino anche al di fuori del normale orario di lavoro.
“L’intelligenza artificiale sta trasformando le modalità di esecuzione degli attacchi ransomware e l’evoluzione delle tattiche degli attaccanti sta superando la capacità di molte organizzazioni di rispondere e ripristinare i sistemi in tempi utili. La minaccia non riguarda più soltanto dati e sistemi: gli autori degli attacchi minacciano sempre più spesso di arrecare danni fisici ai dipendenti delle aziende prese di mira, utilizzandola come tattica per costringere l’azienda a pagare”, ha dichiarato Dan Lattimer, AVP EMEA di Semperis. “Ciò rende la sicurezza delle identità una priorità per la resilienza aziendale, non solo una questione IT: quando i sistemi di gestione delle identità vanno in tilt, l’intera attività può subire la stessa sorte. Le organizzazioni devono mettere in sicurezza tali sistemi ed essere pronte a ripristinarli”.
Dati italiani
- IA – Il 72% ha subito attacchi basati sull’AI; l’83% ha subito attacchi che hanno sfruttato i propri agenti o sistemi AI.
- Intimidazioni – Il 41% ha segnalato intimidazioni psicologiche, il 32% minacce di rapimento e il 22% minacce di danni fisici. Il 74% ha visto concretizzarsi le minacce.
- Conseguenze personali – Il 63% ha segnalato doxxing ai danni di dipendenti o familiari e il 38% swatting.
- Orari degli attacchi – Tutte le organizzazioni italiane del campione hanno subito almeno un attacco nelle ore serali o durante il weekend.
- Identità digitale – Il 75% degli attacchi ha preso di mira Microsoft Entra ID; il 76% delle organizzazioni include procedure per il suo ripristino nei piani di risposta alle crisi.
