Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies Ltd. (NASDAQ : CHKP), pioniere e leader globale nelle soluzioni di sicurezza informatica, rileva nello State of Ransomware Q1 2026 che l’attività legata al ransomware è rimasta elevata nel primo trimestre 2026, proseguendo la tendenza registrata nell’anno precedente. Il rapporto evidenzia che il volume complessivo degli attacchi è rimasto vicino ai massimi storici e la struttura dell’ecosistema del ransomware ha subito cambiamenti significativi. Dopo due anni di crescente frammentazione, l’attività si sta consolidando attorno a un numero più ristretto di gruppi dominanti. Questo cambiamento riduce il numero di attori attivi ma aumenta il potenziale impatto dei singoli incidenti.
Check Point Research ha monitorato oltre 70 siti attivi di divulgazione di dati rubati tramite ransomware nel primo trimestre del 2026. Questi siti hanno registrato:
- Una media di oltre 700 vittime al mese
- Fluttuazioni minime tra gennaio, febbraio e marzo
A prima vista, i dati su base annua suggeriscono un leggero calo rispetto al primo trimestre del 2025. Tuttavia, tale confronto è fuorviante. I dati dello scorso anno sono stati generati da un’unica campagna di sfruttamento di massa. Se la si esclude, l’attività dei ransomware è in realtà aumentata su base annua.
I ransomware non sono più guidati solo da picchi a breve termine. Al contrario, l’attività si è stabilizzata su un livello operativo costantemente elevato con una crescita costante, creando un contesto di rischio per cui le organizzazioni devono prepararsi.
Il cambiamento più significativo di questo trimestre non riguarda il numero di attacchi verificatisi, ma chi li ha perpetrati.
- Nel Q3 del 2025, l’attività di ransomware era distribuita su un numero record di gruppi
- Entro il primo trimestre del 2026, il numero di gruppi attivi era diminuito
- La quota di vittime rivendicata dai principali operatori ha superato il 70%
La pressione delle forze dell’ordine, le interruzioni delle infrastrutture e il panorama competitivo tendono a disperdere gli attori più piccoli. I gruppi più forti sopravvivono, assorbono gli affiliati esclusi e crescono. Nel primo trimestre del 2026, gruppi come Qilin, Akira, The Gentlemen e LockBit hanno rappresentato insieme il 41% di tutte le vittime, mentre i primi 10 gruppi di ransomware hanno rappresentato il 71% di tutte le vittime.
Per i difensori, il consolidamento aumenta la posta in gioco. Le maggiori operazioni di ransomware tendono ad essere più organizzate, più coerenti dal punto di vista operativo e più resilienti alle interruzioni.
Il caso di spicco: The Gentlemen
Uno degli aumenti più significativi dell’attività nel 1° trimestre 2026 è stato attribuito a The Gentlemen, un gruppo di ransomware che ha raggiunto il terzo posto a livello globale nel giro di pochi mesi dall’inizio della propria attività.
La loro crescita è stata alimentata da un accesso pre-posizionato su larga scala. Anziché affidarsi a uno sfruttamento lento e opportunistico, il gruppo ha operato con un ampio inventario di punti compromessi di ingresso alla rete, che gli ha permesso di lanciare attacchi immediatamente e in massa.
L’attività si è concentrata nell’APAC e in America Latina, rispecchiando la distribuzione geografica dei punti di accesso compromessi piuttosto che un cambiamento nel panorama delle minacce più ampio. Sempre più spesso, in alcuni casi, gli attaccanti si dirigono dove l’accesso è disponibile, non necessariamente dove le vittime sono più redditizie.
Il ritorno di LockBit, con un cambiamento strategico
La ricomparsa di LockBit nel primo trimestre del 2026 conferma che il gruppo si è ripreso dal punto di vista operativo dopo il significativo intervento delle forze dell’ordine nel 2024. Sebbene l’attività complessiva sia più che raddoppiata rispetto al trimestre precedente, il cambiamento più significativo è stato di natura geografica. Storicamente concentrato sugli Stati Uniti, LockBit ha recentemente registrato vittime distribuite in modo più uniforme tra Europa, America Latina e altre regioni.
Questo cambiamento suggerisce uno sforzo deliberato volto a ridurre l’esposizione alle giurisdizioni con un approccio repressivo, pur mantenendo la portata delle operazioni. Per le organizzazioni globali, ciò rafforza un punto fondamentale: la diversificazione geografica da parte degli autori degli attacchi amplia il rischio, non lo riduce.
Distribuzione geografica e settoriale: come l’accesso determina l’impatto
L’attività dei ransomware nel primo trimestre del 2026 dimostra che, in alcuni casi, l’impatto sia a livello di settore che geografico è determinato anche dai punti di accesso già in possesso degli attaccanti.
I mercati con un’elevata sensibilità ai tempi di inattività e ambienti complessi hanno continuato a subire attacchi frequenti, tra cui:
- Produzione
- Servizi alle imprese
- Sanità
- Settori industriali
In molti casi, le vittime provenivano da settori in cui esistevano già infrastrutture vulnerabili, VPN esposte o accessi preesistenti, piuttosto che dai mercati preferiti dagli attaccanti. Lo stesso modello basato sull’accesso era visibile a livello geografico:
- Gli Stati Uniti hanno rappresentato quasi la metà di tutte le vittime segnalate (49,6%), in linea con la loro ampia presenza di grandi imprese, con le economie sviluppate occidentali che costituivano la netta maggioranza degli obiettivi.
- La Thailandia ha rappresentato il 10,8% delle vittime legate a un unico gruppo dominante di ransomware (The Gentlemen), spingendola per la prima volta tra i paesi più presi di mira,
- Play ha concentrato l’85,1% della propria attività su organizzazioni con sede negli Stati Uniti, dimostrando come i singoli gruppi possano concentrarsi fortemente su un determinato paese
Nel loro insieme, queste tendenze mostrano che il rischio di ransomware non dipende tanto dal settore o dalla località considerati isolatamente, quanto piuttosto dall’esposizione sottostante creata dalla tecnologia implementata, dalla connettività e dai percorsi di accesso disponibili.
Immagine 3 – Diffusione territoriale dei Ransomware
“Nel 2026 il ransomware non sarà più una questione di numeri, ma un problema di concentrazione e accelerazione, afferma Sergey Shykevich, responsabile del gruppo Threat Intelligence di Check Point Software. “Quando un numero minore, ma più capace, di gruppi è all’origine della maggior parte degli attacchi, ogni incidente comporta un impatto operativo e finanziario maggiore. Allo stesso tempo, l’intelligenza artificiale sta iniziando a comprimere il ciclo di vita dell’attacco, dall’accesso allo sfruttamento, rendendo le vulnerabilità esistenti più pericolose che mai. Le organizzazioni devono passare dal reagire agli incidenti di ransomware al ridurre in modo proattivo l’esposizione colmando le lacune di accesso, rafforzando i controlli sull’identità e sulla rete e limitando i movimenti laterali prima che gli attacchi possano essere messi in atto alla velocità delle macchine.”
Gli attacchi ransomware e di estorsione spesso entrano attraverso infrastrutture esposte, servizi cloud o percorsi di accesso remoto. Questo problema viene affrontato attraverso la sicurezza di rete Hybrid Mesh, applicando una prevenzione delle minacce coerente e basata sull’intelligenza artificiale su reti, cloud, data center e utenti remoti. Funzionalità quali firewall di rete, accesso a Internet SASE e CASB bloccano download malevoli, phishing, exploit e ransomware prima che raggiungano i dispositivi. Se si verifica un’infezione, i controlli Zero Trust nell’accesso privato SASE limitano l’impatto del ransomware, limitando gli attaccanti solo ai dati a cui un utente compromesso può accedere.
Ridurre l’esposizione al ransomware prima dello sfruttamento
Poiché gli attacchi ransomware diventano sempre più rapidi e mirati, è fondamentale ridurre l’esposizione prima dello sfruttamento. Questo è l’obiettivo della “Gestione dell’esposizione”, che aiuta le organizzazioni a identificare quali risorse, vulnerabilità, configurazioni errate e percorsi di accesso possano essere realisticamente sfruttati dagli attaccanti. Correlando le informazioni in tempo reale sul ransomware con l’esposizione interna e verificando i percorsi di risoluzione sicuri, i team di sicurezza possono chiudere tempestivamente i vettori di attacco più probabili e ridurre il rischio di interruzioni dell’attività aziendale.
La protezione degli utenti come punto di ingresso primario
Molti attacchi ransomware iniziano ancora con l’interazione dell’utente, ad esempio tramite e-mail di phishing, link malevoli o credenziali compromesse. Workspace Security affronta questo rischio proteggendo gli utenti a livello di posta elettronica, browser, applicazioni SaaS ed endpoint.
Grazie al rilevamento basato sull’intelligenza artificiale e alle informazioni globali sulle minacce, Workspace Security blocca i vettori di diffusione, impedisce l’uso improprio delle credenziali e interrompe le attività di comando e controllo, aiutando le organizzazioni a contenere il ransomware prima che si diffonda o crittografi i sistemi critici.
